情報取得日: 2025/08/18／最終確認: 2026/08/15・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2025-54948 |
|---|---|
| 製品 | Trend Micro / Apex One (オンプレミス版) 管理コンソール |
| CVSS | 9.8（Critical） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| 種別 (CWE) | CWE-78 OS コマンドインジェクション |
| 登録／公開日 | 2025/08/18 |
| KEV 期限 | 2025/09/08 まで（米国連邦機関向け目安） |
| 推奨対応 | ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2025-54948 |
エンドポイントセキュリティ製品 Trend Micro Apex One のオンプレミス版管理コンソールに欠陥があり、認証前のリモート攻撃者が悪意あるコードをアップロードして、対象システム上でコマンドを実行できる。NVD の CPE は Apex One 2019（オンプレミス版・Windows）を対象としている。管理コンソールは配下の全端末へポリシーや更新を配信する立場にあるため、ここを取られると組織内の全端末に対する正規の配信経路を攻撃者が握ることになる。アンチウイルス製品の管理サーバが侵害されると、防御機構そのものを止められる・除外設定を追加されるという二次被害も伴う。CVSS は評価元で分かれており、NVD（Primary）は 9.8 Critical（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）、CNA の Trend Micro は 9.4 Critical（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:H）としている。差は完全性への影響を High と見るか Low と見るかの1点で、いずれの評価でも Critical であることは一致している。NVD の vulnStatus は Analyzed。CISA KEV には 2025-08-18 に収載され、是正期限は 2025-09-08。ランサムウェア利用は Unknown（不明）。ベンダーの一次情報として Trend Micro のサポート記事 KA-0020652 が公開されている。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | 対象外 |
対象外（Apex One オンプレミス版の管理コンソールの問題で、AWS のマネージドサービスに修正対象は無い）
EC2 上に Apex One の管理サーバを構築している場合は、その管理サーバ自体が更新対象になる。ALB / セキュリティグループでコンソールの公開範囲を絞る。
参照リンク
|
| GCP | 対象外 |
対象外（GCP のマネージドサービスに修正対象は無い）
Compute Engine 上に管理サーバを置いている場合は、その更新と VPC ファイアウォールでの到達制限が必要。
参照リンク
|
| Azure | 対象外 |
対象外（Azure のマネージドサービスに修正対象は無い）
Windows Server 上の製品のため Azure VM に構築している例がある。その場合は管理サーバの更新と NSG での到達制限を行う。
参照リンク
|
| Linux | 対象外 |
対象外（Apex One 2019 オンプレミス版は Windows 向け製品で、Linux ディストリのパッケージではない）
Linux 側に修正対象は無い。前段に Linux のリバースプロキシを置いている場合は、そこで管理コンソールへの外部到達を拒否する緩和が取れる。
参照リンク
|
この CVE の対象はオンプレミス版の管理コンソールなので、まず自社が使っているのがオンプレミス版（Apex One 2019）かクラウド版（Apex One as a Service）かを確認する。オンプレミス版であれば、管理コンソールのビルド／パッチレベルを確認し、Trend Micro のサポート記事 KA-0020652 に記載された修正の適用状況を突き合わせる。次に到達性を確認する。管理コンソールは社内向けの画面だが、在宅勤務対応で外部公開されていたり、リバースプロキシ経由で公開されているケースが実際にあるため、インターネットから到達できる状態になっていないかを必ず見る。未認証で悪用できる欠陥なので、外部到達の有無が被害確率をほぼ決める。対応はベンダーのサポート記事に従って修正を適用することである。適用までの緩和は、管理コンソールへの到達を管理端末のセグメントや VPN 経由に限定し、インターネットからの到達を止めることである。加えて、コンソールのアップロード機能が使われる経路を前段の WAF で絞る運用も併用できる。KEV 収載済み、つまり実際に悪用されているため、外部公開していた期間があるなら侵害を前提に調査する。確認するのは、管理サーバ上に追加された不審なファイル（Web ディレクトリへのアップロード）、新規のサービス・スケジュールタスク、管理コンソールの管理者アカウントの追加や権限変更、そして配下端末へ配信されたポリシーの変更履歴（除外設定の追加、リアルタイムスキャンの無効化）である。防御製品の設定を緩められていないかを確認する作業が、この製品では特に重要になる。管理サーバが保持する資格情報（AD 連携アカウント、DB 接続情報）も再発行の対象である。完了条件は、（1）KA-0020652 に従った修正の適用、（2）管理コンソールの外部到達を封鎖、（3）公開実績があるならポリシー変更履歴とアカウントの点検、資格情報の再発行が済んでいること。KEV 是正期限 2025-09-08 は経過している。
Critical（CVSS 9.8）に分類されるTrend Micro Apex One (オンプレミス版) 管理コンソールの脆弱性です。エンドポイントセキュリティ製品 Trend Micro Apex One のオンプレミス版管理コンソールに欠陥があり、認証前のリモート攻撃者が悪意あるコードをアップロードして、対象システム上でコマンドを実行できる。NVD の CPE は Apex One 2019（オンプレミス版・Windows）を対象としている。管理コンソールは配下の全端末へポリシーや更新を配信する立場にあるため、ここを取られると組織内の全端末に対する正規の配信経路を攻撃者が握ることになる。アンチウイルス製品の管理サーバが侵害されると、防御機構そのものを止められる・除外設定を追加されるという二次被害も伴う。CVSS は評価元で分かれており、NVD（Primary）は 9.8 Critical（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）、CNA の Trend Micro は 9.4 Critical（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:H）としている。差は完全性への影響を High と見るか Low と見るかの1点で、いずれの評価でも Critical であることは一致している。NVD の vulnStatus は Analyzed。CISA KEV には 2025-08-18 に収載され、是正期限は 2025-09-08。ランサムウェア利用は Unknown（不明）。ベンダーの一次情報として Trend Micro のサポート記事 KA-0020652 が公開されている。
この CVE の対象はオンプレミス版の管理コンソールなので、まず自社が使っているのがオンプレミス版（Apex One 2019）かクラウド版（Apex One as a Service）かを確認する。オンプレミス版であれば、管理コンソールのビルド／パッチレベルを確認し、Trend Micro のサポート記事 KA-0020652 に記載された修正の適用状況を突き合わせる。次に到達性を確認する。管理コンソールは社内向けの画面だが、在宅勤務対応で外部公開されていたり、リバースプロキシ経由で公開されているケースが実際にあるため、インターネットから到達できる状態になっていないかを必ず見る。未認証で悪用できる欠陥なので、外部到達の有無が被害確率をほぼ決める。対応はベンダーのサポート記事に従って修正を適用することである。適用までの緩和は、管理コンソールへの到達を管理端末のセグメントや VPN 経由に限定し、インターネットからの到達を止めることである。加えて、コンソールのアップロード機能が使われる経路を前段の WAF で絞る運用も併用できる。KEV 収載済み、つまり実際に悪用されているため、外部公開していた期間があるなら侵害を前提に調査する。確認するのは、管理サーバ上に追加された不審なファイル（Web ディレクトリへのアップロード）、新規のサービス・スケジュールタスク、管理コンソールの管理者アカウントの追加や権限変更、そして配下端末へ配信されたポリシーの変更履歴（除外設定の追加、リアルタイムスキャンの無効化）である。防御製品の設定を緩められていないかを確認する作業が、この製品では特に重要になる。管理サーバが保持する資格情報（AD 連携アカウント、DB 接続情報）も再発行の対象である。完了条件は、（1）KA-0020652 に従った修正の適用、（2）管理コンソールの外部到達を封鎖、（3）公開実績があるならポリシー変更履歴とアカウントの点検、資格情報の再発行が済んでいること。KEV 是正期限 2025-09-08 は経過している。
Trend Micro Apex One (オンプレミス版) 管理コンソール を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2025-54948）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2025/09/08 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/08/15）。