情報取得日: 2025/10/22／最終確認: 2026/08/15・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2025-61932 |
|---|---|
| 製品 | MOTEX / LANSCOPE エンドポイントマネージャー オンプレミス版 |
| CVSS | 9.8（Critical） CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| 種別 (CWE) | CWE-940 通信チャネルの送信元の不適切な検証 |
| 登録／公開日 | 2025/10/22 |
| KEV 期限 | 2025/11/12 まで（米国連邦機関向け目安） |
| 推奨対応 | ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2025-61932 |
国内で広く使われている IT 資産管理製品 LANSCOPE エンドポイントマネージャー（オンプレミス版）のクライアントプログラム（MR）と検知エージェント（DA）に、受信したリクエストの送信元を適切に検証しない欠陥がある。攻撃者が細工したパケットを送るだけで任意コードが実行される。認証を必要とせず（PR:N）、ネットワーク越しに成立する。危険度が高いのは製品の性質による。エンドポイント管理エージェントは全端末に配布され、多くの場合 SYSTEM 相当の権限で常駐しているため、1つの欠陥が組織内の全端末を同時に掌握する経路になる。影響範囲は広く、NVD の CPE では 9.3.2.7 未満、9.3.3.0 以上 9.3.3.9 未満、9.4.0.0 以上 9.4.0.5 未満、9.4.1.0 以上 9.4.1.5 未満、9.4.2.0 以上 9.4.2.6 未満、9.4.3.0 以上 9.4.3.8 未満、9.4.4.0 以上 9.4.4.6 未満、9.4.5.0 以上 9.4.5.4 未満、9.4.6.0 以上 9.4.6.3 未満、9.4.7.0 以上 9.4.7.1 以下が対象とされている。CVSS は CNA の JPCERT/CC による評価のみで、CVSS 3.0 で 9.8 Critical（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）、CVSS 4.0 で 9.3 Critical。NVD 自身の Primary スコアは付与されていない。NVD の vulnStatus は Analyzed。CISA KEV には 2025-10-22 に収載され、是正期限は 2025-11-12。ランサムウェア利用は Unknown（不明）。日本語の一次情報として JVN86318557 と MOTEX の告知が公開されている。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | 対象外 |
対象外（LANSCOPE エンドポイントマネージャーのオンプレミス版クライアントの問題で、AWS 側の資産に修正対象は無い）
AWS 上の Windows インスタンスにエージェントを入れている場合は、そのエージェント自体が更新対象になる。クラウド事業者側の作業は無い。
参照リンク
|
| GCP | 対象外 |
対象外（GCP 側の資産に修正対象は無い）
NVD の CPE は motex:lanscope_endpoint_manager（on-premise）のみ。GCP 上の VM にエージェントを入れている場合はそのエージェントの更新が必要。
参照リンク
|
| Azure | 対象外 |
対象外（Azure 側の資産に修正対象は無い）
Azure VM 上の Windows にエージェントを配布している場合は、その版が修正版かを確認する。
参照リンク
|
| Linux | 対象外 |
対象外（対象は Windows 向けのクライアントプログラム（MR）と検知エージェント（DA）で、Linux ディストリのパッケージではない）
Linux 側に修正対象は無い。緩和としてネットワーク側でエージェントへの到達を管理サーバに限定する構成は取れる。
参照リンク
|
判定は管理サーバ側のコンソールで、配布されている MR / DA の版を確認することから始める。CPE の範囲が細かく分かれているので、自分の系列（9.3.2 / 9.3.3 / 9.4.0〜9.4.7）ごとに修正版（それぞれ 9.3.2.7 / 9.3.3.9 / 9.4.0.5 / 9.4.1.5 / 9.4.2.6 / 9.4.3.8 / 9.4.4.6 / 9.4.5.4 / 9.4.6.3 / 9.4.7.1 より後）に達しているかを確認する。見落としやすいのは、管理サーバを更新してもエージェント配布が完了していない端末、長期間オフラインだった端末、そして管理外の端末に手動でインストールされたエージェントである。エージェントの配布完了率を管理コンソールで確認し、未適用端末のリストを潰す作業がこの CVE の実務の中心になる。対応は MOTEX の告知に従って修正版へ更新し、全端末へ配布することである。更新までの緩和は、エージェントが待ち受けている通信をネットワーク側で絞ることで、具体的には管理サーバ以外からエージェントへ到達できないようにセグメント分割やホストファイアウォールで制限する方向になる。オンプレミス版が対象であることも重要で、クラウド版を使っている環境は影響範囲の判断が変わるため、自社がどちらを使っているかを最初に確認する。この CVE は実際の悪用が確認されており、国内組織での被害も報じられた。したがって更新だけで終わらせず、（1）エージェントが実行した想定外のプロセスの痕跡、（2）管理サーバの操作ログにある不審な配布ジョブやスクリプト実行、（3）端末上の新規サービス・スケジュールタスク・追加された管理者アカウントを確認する。管理エージェントは正規の手段で全端末にコマンドを流せるため、侵害された場合の横展開は速く、痕跡も正規操作に埋もれやすい。完了条件は、（1）全端末のエージェントが修正版へ更新済み（配布率100%の確認）、（2）管理サーバ側の操作ログ点検が完了、（3）侵害の疑いがある場合の端末調査が済んでいること。KEV 是正期限 2025-11-12 は経過しているため、未適用端末が残っているなら期限超過として扱う。
Critical（CVSS 9.8）に分類されるMOTEX LANSCOPE エンドポイントマネージャー オンプレミス版の脆弱性です。国内で広く使われている IT 資産管理製品 LANSCOPE エンドポイントマネージャー（オンプレミス版）のクライアントプログラム（MR）と検知エージェント（DA）に、受信したリクエストの送信元を適切に検証しない欠陥がある。攻撃者が細工したパケットを送るだけで任意コードが実行される。認証を必要とせず（PR:N）、ネットワーク越しに成立する。危険度が高いのは製品の性質による。エンドポイント管理エージェントは全端末に配布され、多くの場合 SYSTEM 相当の権限で常駐しているため、1つの欠陥が組織内の全端末を同時に掌握する経路になる。影響範囲は広く、NVD の CPE では 9.3.2.7 未満、9.3.3.0 以上 9.3.3.9 未満、9.4.0.0 以上 9.4.0.5 未満、9.4.1.0 以上 9.4.1.5 未満、9.4.2.0 以上 9.4.2.6 未満、9.4.3.0 以上 9.4.3.8 未満、9.4.4.0 以上 9.4.4.6 未満、9.4.5.0 以上 9.4.5.4 未満、9.4.6.0 以上 9.4.6.3 未満、9.4.7.0 以上 9.4.7.1 以下が対象とされている。CVSS は CNA の JPCERT/CC による評価のみで、CVSS 3.0 で 9.8 Critical（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）、CVSS 4.0 で 9.3 Critical。NVD 自身の Primary スコアは付与されていない。NVD の vulnStatus は Analyzed。CISA KEV には 2025-10-22 に収載され、是正期限は 2025-11-12。ランサムウェア利用は Unknown（不明）。日本語の一次情報として JVN86318557 と MOTEX の告知が公開されている。
判定は管理サーバ側のコンソールで、配布されている MR / DA の版を確認することから始める。CPE の範囲が細かく分かれているので、自分の系列（9.3.2 / 9.3.3 / 9.4.0〜9.4.7）ごとに修正版（それぞれ 9.3.2.7 / 9.3.3.9 / 9.4.0.5 / 9.4.1.5 / 9.4.2.6 / 9.4.3.8 / 9.4.4.6 / 9.4.5.4 / 9.4.6.3 / 9.4.7.1 より後）に達しているかを確認する。見落としやすいのは、管理サーバを更新してもエージェント配布が完了していない端末、長期間オフラインだった端末、そして管理外の端末に手動でインストールされたエージェントである。エージェントの配布完了率を管理コンソールで確認し、未適用端末のリストを潰す作業がこの CVE の実務の中心になる。対応は MOTEX の告知に従って修正版へ更新し、全端末へ配布することである。更新までの緩和は、エージェントが待ち受けている通信をネットワーク側で絞ることで、具体的には管理サーバ以外からエージェントへ到達できないようにセグメント分割やホストファイアウォールで制限する方向になる。オンプレミス版が対象であることも重要で、クラウド版を使っている環境は影響範囲の判断が変わるため、自社がどちらを使っているかを最初に確認する。この CVE は実際の悪用が確認されており、国内組織での被害も報じられた。したがって更新だけで終わらせず、（1）エージェントが実行した想定外のプロセスの痕跡、（2）管理サーバの操作ログにある不審な配布ジョブやスクリプト実行、（3）端末上の新規サービス・スケジュールタスク・追加された管理者アカウントを確認する。管理エージェントは正規の手段で全端末にコマンドを流せるため、侵害された場合の横展開は速く、痕跡も正規操作に埋もれやすい。完了条件は、（1）全端末のエージェントが修正版へ更新済み（配布率100%の確認）、（2）管理サーバ側の操作ログ点検が完了、（3）侵害の疑いがある場合の端末調査が済んでいること。KEV 是正期限 2025-11-12 は経過しているため、未適用端末が残っているなら期限超過として扱う。
MOTEX LANSCOPE エンドポイントマネージャー オンプレミス版 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2025-61932）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2025/11/12 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/08/15）。