Sitecore XM/XP の ViewState デシリアライズで RCE（悪用確認済み）

Critical（CVSS 9.0）に分類されるSitecore Experience Manager (XM) / Experience Platform (XP)の脆弱性です。Sitecore Experience Manager（XM）と Experience Platform（XP）の、信頼できないデータのデシリアライズによるコード注入である。影響は XM / XP ともに 9.0 までで、NVD の CPE には Experience Commerce 9.0 以下と Managed Cloud も含まれている。特徴は、製品コードの不具合ではなく配備時の設定に起因する点である。Mandiant（Google Cloud）の調査によれば、2017年以前の Sitecore 導入ガイドに掲載されていたサンプルの ASP.NET machineKey をそのまま使っている環境が対象で、攻撃者はその既知の鍵で署名・暗号化した ViewState のペイロードを、認証なしで到達できる /sitecore/blocked.aspx の隠し __VIEWSTATE フィールドに送り込んで遠隔コード実行を得た。実際の侵入では偵察マルウェア WEEPSTEEL が投下され、web.config を含む web root のアーカイブ化、EARTHWORM によるトンネル、DWAGENT による常時アクセス、SHARPHOUND による Active Directory 偵察、ローカル管理者の作成と SAM / SYSTEM ハイブのダンプ、RDP での横移動まで進んだ。Sitecore は更新後の配備では machineKey を一意に自動生成すると説明している。CVSS は CNA の Sitecore による 9.0 Critical（CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H）のみで、NVD の Primary スコアは無い。CWE は CWE-502。CISA KEV には 2025-09-04 に収載され、是正期限は 2025-09-25、ランサムウェア利用は Unknown（不明）。NVD の vulnStatus は Analyzed。

この脆弱性の判定は版番号ではなく設定を見る作業になる、という点が最大の落とし穴である。確認すべきは web.config と machine.config の machineKey 要素で、導入ガイド由来のサンプル値がそのまま残っていないか、複数の環境（本番・ステージング・開発）で同じ鍵が使われていないかを見る。9.0 以下から新しい版へアップグレードしていても、設定ファイルを引き継いでいれば古い鍵は残るため、「版を上げたから対象外」とは言えない。到達性の側も見る。/sitecore/blocked.aspx は認証なしで応答するライセンス関連の正規ページで、隠し ViewState を持つためこの攻撃の入口になった。前面のリバースプロキシや WAF のログで、このパスへの POST が来ていないかを確認する。恒久対応は Sitecore の advisory（KB1003865、ベンダー側の採番は SC2025-005）に従った鍵の入れ替えで、加えて Mandiant は ASP.NET の一般的な作法として machineKey の自動ローテーション、ViewState の MAC 検証の有効化、web.config 内の平文の秘密の暗号化を推奨している。完了条件は、（1）machineKey がサンプル値でなく環境ごとに一意で、ローテーションの仕組みが入っていること、（2）ViewState の MAC 検証が有効であること、（3）KEV 収載＝実際に悪用されているので侵入痕跡の確認が済んでいることの3点である。痕跡としては、Mandiant が公開している範囲では asp$ や sawadmin という作成アカウントの有無、web root がアーカイブされた形跡、EARTHWORM / DWAGENT / SHARPHOUND に相当するファイルの残存、130.33.156.194 など報告された宛先への通信が挙がっている。鍵を替えるだけで終わらせてはならず、SAM / SYSTEM がダンプされていた場合はドメイン側まで資格情報が漏れている前提で、ローカル管理者とサービスアカウント、ドメインの特権アカウントを再発行する必要がある。是正期限 2025-09-25 は大きく過ぎているため、未対応なら期限超過として扱う。

Sitecore Experience Manager (XM) / Experience Platform (XP) を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2025-53690）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2025/09/25 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。