脅威インテリジェンス

脆弱性の状況: 2025 年のゼロデイを振り返る

2026年3月26日

Google Threat Intelligence Group

※この投稿は米国時間 2026 年 3 月 6 日に、Google Cloud blog に投稿されたものの抄訳です。

執筆者: Casey Charrier、James Sadowski、Zander Work、Clement Lecigne、Benoît Sevens、Fred Plan

エグゼクティブサマリー

2025 年に実際に悪用され、Google Threat Intelligence Group（GTI）が追跡したゼロデイ脆弱性は 90 件に上ります。この件数は 2023 年に観測された過去最高数（100 件）よりは少ないものの、2024 年の件数（78 件）よりは多く、過去 4 年間は 60～100 件の間で推移しており、このレベルで安定化する傾向が示唆されています。

2025 年にも、2024 年に初めて確認された、企業を標的とした脆弱性悪用の増加という構造的な変化が継続して見られました。企業向けテクノロジーに影響を与えた脆弱性の数（43 件）と割合（48%）は過去最高に達し、2025 年に悪用されたゼロデイ全体のほぼ 50% を占めています。検出されたブラウザベースの脆弱性悪用は減少し続けており、過去最低を記録しましたが、オペレーティングシステムの脆弱性の悪用は増加しました。

国家支援型スパイ（エスピオナージ）活動グループは、被害者のネットワークへの主要な侵入ポイントとして、引き続きエッジデバイスとセキュリティアプライアンスを優先しており、これらのグループによるゼロデイ脆弱性悪用の半分強がこれらのテクノロジーに集中しています。商用スパイウェアベンダー（CSV）は、モバイルとブラウザの脆弱性悪用に関心を持ち続けており、最近実装されたセキュリティ境界やその他のモバイルセキュリティ改良点を回避するためのエクスプロイトチェーンを導入、拡大させています。BRICKSTORM マルウェアの展開に関連して発生した複数の侵入の目的は多岐にわたりましたが、テクノロジー企業を標的にすることで、価値の高い知的財産（IP）を盗み、ゼロデイ脆弱性利用型不正プログラム（エクスプロイト）の開発をさらに進めることができる可能性が示されました。

重要ポイント

複雑化によりモバイル脆弱性の件数が増加している。モバイルのゼロデイの発見数は過去 3 年間で変動しており、2023 年の 17 件が 2024 年には 9 件に減少しましたが、2025 年には 15 件に再び増加しました。ベンダーの対策が進化し、より単純な脆弱性悪用を阻止するようになると、脅威アクターは手法を拡大したり調整したりせざるを得なくなりました。たとえば、攻撃者が連鎖させる脆弱性の数を増やし、保護レベルの高いコンポーネント内で目的のアクセスレベルに到達しようとするケースがあります。逆に、アプリケーションやサービスなどの単一の機能内で、より低いレベルのアクセスを標的とすることで、ほとんどバグがない状況やバグが 1 つしかない状況でも脆弱性の悪用に成功しているというケースもあります。
エンタープライズソフトウェアとエッジデバイスが主な標的である点は変わらない。2025 年のゼロデイの 48% がエンタープライズグレードのテクノロジーを標的としており、過去最高を記録しました。セキュリティデバイスとネットワーキングデバイスの脆弱性悪用の増加は、信頼性の高いエッジインフラストラクチャがもたらす可能性のある重大なリスクを浮き彫りにしています。また、企業向けソフトウェアが標的となっていることは、ネットワークとデータアセット全体に特権アクセスを提供する、高度に相互接続されたプラットフォームの価値の高さを示しています。ネットワーキングとセキュリティのアプライアンスは引き続き、初期アクセスを得ようとする各種脅威アクターの標的となっています。
商用スパイウェアベンダー（CSV）によりゼロデイアクセスの障壁がさらに低くなっている。ゼロデイ脆弱性悪用の追跡を開始して以来初めて、従来の国家支援型サイバーエスピオナージグループによるゼロデイよりも多くのゼロデイが CSV によるものであることが特定されました。これは、こうしたベンダーを通じて、これまで以上に幅広い攻撃者がゼロデイ脆弱性を悪用できるようになっていることを示しています。
中華人民共和国（PRC）と関連のあるサイバーエスピオナージグループが、引き続き従来の国家支援型スパイ活動によるゼロデイ脆弱性悪用の中心となっている。GTIG が 10 年近くにわたって確認してきた傾向と矛盾することなく、他の支援国家と比較して、中国と関連するグループが 2025 年もゼロデイ脆弱性を最も多く利用していました。UNC5221 や UNC3886 などのグループは、戦略的標的に対する永続的なアクセスを維持するために、セキュリティアプライアンスとエッジデバイスに引き続き重点を置いていました。
金銭目的の脅威グループによるゼロデイ脆弱性悪用が過去最高に並ぶ。2025 年には、9 件のゼロデイの悪用が、金銭目的の脅威グループによるものと確認または推定されました。これは 2023 年の合計数とほぼ同じであり、特定されたすべての脆弱性に占める割合としては、2025 年の方が高くなっています。

2026 年のゼロデイ予測

標的と手法の拡大が続く

特定のベンダーが、特にブラウザとモバイルの分野で脆弱性悪用をより困難にする改良を推進し続けているため、攻撃者は手法を拡大し標的を多様化することによって適応を続けると考えられます。インフラストラクチャ全体で使用されるアプリケーションの幅広さが、企業を標的とした脆弱性悪用をさらに推し進めるでしょう。ソフトウェア、デバイス、アプリケーションの数が増えることで攻撃対象領域が拡大し、単一障害点だけで侵害を達成できる状態になります。

AI が変化をもたらす

2026 年には、AI によって攻撃者と防御者の間の競争が加速し、より変化の激しい脅威環境になると予想されます。攻撃者は、AI によって偵察、脆弱性の発見、脆弱性利用型不正プログラムの開発を加速させることで、攻撃を自動化し、攻撃の規模を拡大するでしょう。これらのフェーズに必要な時間が短縮されると、ゼロデイ脆弱性悪用をより適切に検出して対応しなければならない防御者に対する圧力がさらに強まります。同時に、AI はエージェントソリューションなどのツールを活用してセキュリティ運用を強化できるよう防御者を支援します。AI エージェントは、これまで知られていなかったセキュリティ上の欠陥をプロアクティブに発見してパッチを適用し、ベンダーが脆弱性を悪用される前に無効化できるようにします。

調査のためのアクセス権を利用する

PRC につながるスパイ活動団体によるものとされる 2025 年の BRICKSTORM マルウェアキャンペーンは、データ窃盗がゼロデイの長期的な展開を可能にするおそれがあるという、ゼロデイ脆弱性悪用の新たなパラダイムを示唆している可能性があります。この脅威アクターは、機密性の高い顧客データを引き出しただけでなく、被害組織の IP（ソースコードや独自の開発ドキュメントなど）も標的としていました。この IP を使用して、ベンダーのソフトウェアの新たな脆弱性を発見できる可能性があるため、被害組織だけでなく、その下流の顧客にも脅威が及びます。

レポートの範囲

このレポートでは、2025 年のゼロデイ脆弱性悪用について、Google Threat Intelligence Group（GTIG）が把握している情報を紹介します。GTIG はゼロデイを、パッチが公開される前に実際に悪用された脆弱性と定義しています。以下の分析は、GTIG の独自の調査に、信頼できる公開レポートの内容を組み合わせたものですが、すべての情報源の報告内容を個別に確認することはできません。

この分野における調査は動的であり、過去のインシデントが継続的に発見されるため、数値は調整される可能性があります。この分析は GTIG によって追跡された脆弱性悪用を対象としていますが、すべてのゼロデイ脆弱性悪用を反映しているとは限りません。ここに記載されている数値は、現在のデータからわかることを最大限に反映したものです。また、2025 年のデータセットに含まれるすべてのゼロデイについて、パッチが利用可能である点に注意してください。GTIG は、このレポートで取り上げられている傾向が、2025 年 12 月 31 日時点で検出、開示されているゼロデイに基づいていることを認識しています。

数値分析

https://storage.googleapis.com/gweb-cloudblog-publish/images/zero-day-2025-fig1a.max-1700x1700.jpg

図 1: 年別のゼロデイ

GTIG は、2025 年に明らかになり、ゼロデイとして悪用された 90 件の脆弱性を追跡しました。この数値は、過去 5 年間にわたって一貫して見られてきた増加傾向と一致しています。ゼロデイの年間総数は、この期間に 60～100 の範囲内で変動しましたが、2021 年以前の水準と比較すると高いままです。ベンダーの対策や高い価値をもたらす新たな機会などにより、特定のカテゴリの脆弱性悪用が時間の経過とともに変化する一方で、ゼロデイの総数は大幅に増減することなく、予想される範囲内に収まっています。

2025 年には企業の脆弱性悪用がさらに拡大

https://storage.googleapis.com/gweb-cloudblog-publish/images/zero-day-2025-fig2a.max-1700x1700.jpg

図 2: 2025 年のゼロデイの状況（エンドユーザー向けプロダクトと企業向けプロダクト）

企業向けテクノロジー

2025 年には、企業向けソフトウェアとアプライアンスで 43 件（48%）のゼロデイが確認されました。これに対し、2024 年の件数は 36 件（46%）でした。この割合が一定していることから、脅威の状況における構造的変化として、企業インフラストラクチャへの移行が発生していることがわかります。また、権限昇格と高レベルのアクセスを可能にし、広範囲に影響を及ぼすことができるようにするツールの価値も高まっています。

セキュリティとネットワーキング: これらの脆弱性は、2025 年の企業関連のゼロデイの約半分（21 件）を占めており、依然として特権インフラストラクチャコンポーネントを介したコード実行と不正アクセスの主要な標的となっています。これらのプロダクトに共通する欠陥は、入力検証の欠如と不完全な認証プロセスでした。このことから、基本的なシステムの不具合が存在し続けていることがわかりますが、これは実装に適切な基準とアプローチと適用することで修正可能です。エッジデバイス（その多くはセキュリティデバイスやネットワーキングデバイス）は、組織のインフラストラクチャの境界に配置され、価値の高い標的となっている点に変わりはありません。ルーター、スイッチ、セキュリティアプライアンスなどのほとんどのエッジデバイスには EDR テクノロジーが搭載されていないため、防御側にとって盲点となり、理想的な攻撃対象領域となります。この制限により、これらのデバイスが侵害された場合に、異常を検出したり、ホストベースの証拠を収集したりできなくなる可能性があります。2025 年にエッジデバイスに影響を与えることが確認されたゼロデイは 14 件ですが、検出機能が抑制されているため、この数値は実際の活動規模よりも小さいものとなっている可能性があります。
企業向けソフトウェア: 企業向けツールや仮想化技術の悪用が目立っており、攻撃者が重要なビジネスインフラストラクチャの奥深くまで侵入していることがわかります。脅威アクターは、インフラストラクチャ内の特定の領域やプロダクトに存在する可能性のある対策を回避するために、最も脆弱で露出したアセットを標的にし続けています。

エンドユーザー向けプラットフォームおよびプロダクト

2025 年には、追跡したゼロデイのうち 52%（47 件）がエンドユーザー向けのプラットフォームとプロダクトを標的としていました。

オペレーティングシステム（OS）: デスクトップとモバイルの両方を含む OS は、2025 年に最も悪用されたプロダクトカテゴリであり、ゼロデイ全体の 44%（39 件）を占めています。この数値は、ゼロデイ脆弱性悪用の総数（2024 年は 31 件、2023 年は 33 件）とゼロデイ脆弱性悪用の総数に占める割合（2024 年は 40%、2023 年は 33%）の両面で、直近 2 年間と比較して増加しています。デスクトップ OS のゼロデイは、年間 16～23 件の間で推移しながら、徐々に増加傾向にあります。このことから、これらのプラットフォームの基本的な役割と、OS レベルの悪用によってもたらされる影響の大きさがわかります。
モバイルデバイス: 特にモバイル OS の脆弱性悪用が大幅に増加し、2025 年のゼロデイは 2024 年に特定された 9 件から 15 件に増えました。2023 年にはモバイル関連のゼロデイが 17 件確認されましたが、この一時的な減少とその後の活動の再開には、次の要因が影響したと考えられます。

2025 年に発見された複数のエクスプロイトチェーンには 3 つ以上の脆弱性が含まれており、1 つの目標を達成するために必要な脆弱性の数が増加している。
脅威研究者が、かつてなく多くの完全なエクスプロイトチェーンを 2025 年に発見した。過去には、部分的なチェーンや単一の脆弱性しか特定できず、それらだけを考慮していたこともあった。
脅威アクター、特に CSV が、新しいセキュリティ境界の実装を回避する新しい手法を見つけた。

ブラウザ: 2025 年のゼロデイ脆弱性悪用のうち、ブラウザが占める割合は 10% 未満であり、ブラウザが多かった 2021～2022 年から大幅に減少しています。このことは、ブラウザの強化対策が機能していることを示唆しています。ただし、攻撃者の運用セキュリティが向上したため、攻撃者の行動の観察と追跡がより困難になっており、この分野で観察される脆弱性悪用の件数が減少している可能性があるとも評価しています。

ベンダー別に見る脆弱性悪用

https://storage.googleapis.com/gweb-cloudblog-publish/images/zero-day-2025-fig3a.max-1700x1700.jpg

図 3: 2025 年のベンダー別ゼロデイ脆弱性悪用

2025 年に脆弱性を悪用されたベンダーは、昨年と同じパターンをたどっています。大手テクノロジー企業がゼロデイ脆弱性悪用の被害を最も多く受けており、セキュリティベンダーがそれに続いています。大手テクノロジー企業が消費者向けプロダクトのユーザーベースの大半を獲得し続けているため、特にデスクトップ OS、ブラウザ、モバイルシステムにおいて、こうした企業が脆弱性悪用の主要な標的となっています。Cisco と Fortinet が、よく標的にされるネットワーキングとセキュリティのベンダーである点は変わりません。また、Ivanti と VMware の脆弱性が引き続き悪用されていることから、脅威アクターが VPN と仮想化プラットフォームに高い価値を見出していることがわかります。

ゼロデイ攻撃を 1 回だけ受けたベンダーが 20 社確認されました。このことから、脅威アクターがさまざまなベンダーやプロダクトを標的にして、目的の標的で足場を築くことに成功していることがわかります。

悪用された脆弱性の種類

過去数年と同様に、ゼロデイ脆弱性悪用の目的は主にリモートコード実行で、次に多かった目的が権限の昇格でした。これらは、大手テクノロジーベンダーとセキュリティベンダーの脆弱性悪用で特によく見られた影響でした。コード実行と不正アクセスは共に、ネットワークとエッジインフラストラクチャの脆弱性悪用でよく見られる目標であり、システムとネットワーク全体に広範囲に及ぶ高権限アセットを悪用することの利点を示しています。

2025 年には、構造設計の欠陥と広範な実装の問題の両方が数多く発生したことで、既知の問題が広範囲で、しかも多数発生していることが明らかになりました。

インジェクションとデシリアライゼーション（逆シリアル化）: コマンドインジェクションとデシリアライゼーションは、企業環境において重要な攻撃ベクトルとなりました。これらのタイプの脆弱性では、複雑なメモリ破損による脆弱性利用型不正プログラムを使用しなくても、信頼性の高いリモートコード実行（RCE）が可能になることが珍しくありません。SQL インジェクションとコマンドインジェクションの脆弱性は、ウェブに接続された企業向けアプライアンスでよく見られ、初期アクセスのための入口となっていました。
メモリ破損: 脅威アクターがメモリ破損を利用する状況は継続しており、メモリの安全性の問題（特に use-after-free [UAF] と境界外書き込み）が脆弱性の約 35% を占めています。UAF の脆弱性は、ブラウザや OS カーネルなどのユーザー中心のプロダクトに関して、主要な攻撃ベクトルであり続けています。
アクセス制御: 認証と認可をバイパスする脆弱性が蔓延していることは、エッジデバイスがネットワーク境界と独自の管理インターフェースの両方を保護することの難しさを浮き彫りにしています。
ロジックと設計の欠陥: 企業向けアプライアンスで頻繁に悪用されるこれらの問題は、システムの意図されたロジックや設計が本質的に安全でないという、基本的なアーキテクチャ上の弱点を象徴するものです。ソフトウェアは設計どおりに動作しているため、ベンダーがこれらの欠陥を検出するのは困難です。

脆弱性悪用をけん引する組織

https://storage.googleapis.com/gweb-cloudblog-publish/images/zero-day-2025-fig4a.max-1700x1700.jpg

図 4: 2025 年にゼロデイ脆弱性悪用を行った組織

商用スパイウェアベンダーによる悪用が増加

GTIG がゼロデイ脆弱性悪用の追跡を開始して以来初めて、従来の国家支援型サイバーエスピオナージグループよりも CSV による攻撃の方が多くなりました。国家支援型アクターは、発見を妨げる可能性のある運用セキュリティに重点を置くようになっていますが、ここ数年続いている傾向として、CSV やその顧客によって実行されるゼロデイ脆弱性悪用の割合が増加しています。このことは、環境がゆっくりと確実に変化していることを示しています。これまで、ゼロデイ脆弱性を最も多く悪用しているのは、従来の国家支援型サイバーエスピオナージグループでした。ここ数年、CSV とその顧客によるゼロデイ脆弱性悪用が増加しており、これらのベンダーがこれまで以上に幅広い脅威アクターにゼロデイアクセスを提供する能力を高めていることがわかります。

GTIG は、CSV がそのクライアントに提供する機能や、市民的自由と人権を侵害する攻撃でゼロデイ脆弱性利用型不正プログラムを使用する CSV の顧客の数について広範に報告してきました。2025 年後半、GTIG は多数のゼロデイを調達し利用している Intellexa が、どのように運用とツールスイートを調整し、高額な料金を支払う顧客に非常に有能なスパイウェアを提供し続けているかについて報告しました。

中華人民共和国（PRC）関連のサイバーエスピオナージグループが依然として主力

2025 年に従来の国家支援型サイバーエスピオナージグループによるものと特定されたゼロデイ脆弱性悪用の割合は過去数年よりも低かったものの、これらのグループは 2025 年も多数のゼロデイ脆弱性利用型不正プログラムを開発し、利用し続けていました。10 年近くにわたって確認されている傾向と矛盾することなく、2025 年も、 PRC につながるサイバーエスピオナージグループが、国家主体のアクターの中で最もゼロデイを多用するグループでした。評価対象の PRC 関連のサイバーエスピオナージグループによるゼロデイの利用は、少なくとも 10 件に上ると GTIG は推定しています。これは、2024 年にこれらのグループによるものと特定された件数の 2 倍ですが、2023 年に特定された 12 件を下回っています。 PRC 関連のスパイによるゼロデイ脆弱性悪用は、監視が難しいエッジデバイスとネットワーキングデバイスに引き続き重点が置かれ、これらの団体が戦略的なネットワークで長期的な足場を維持できるようになりました。その例として、UNC3886 による CVE-2025-21590 や、UNC5221 による CVE-2025-0282 などの脆弱性悪用が挙げられます。

脆弱性の大規模な悪用が確認されていることから、 PRC 関連のスパイ活動団体が、脆弱性利用型不正プログラムを開発、共有、配布する能力をますます高めていることがわかります。これまで、ゼロデイ脆弱性利用型不正プログラムは限定的なもので、リソースが豊富な脅威グループのみが利用していました。しかし、時間の経過とともに、一般公開が近づいている脆弱性を悪用する活動クラスタが増加していることが確認されています。これは、 PRC 関連のスパイ活動団体が、脆弱性利用型不正プログラムの開発と、本来は別々に活動するグループへの配布にかかる時間を短縮した可能性があることを示しています。このことは、特定の脆弱性を標的とした不正プログラムコードが徐々に拡散していることだけでなく、N デイ脆弱性の一般公開から複数のグループによる広範な悪用までの期間が短縮していることからも明らかです。

2024 年には 5 件のゼロデイ脆弱性悪用が北朝鮮の支援を受けた脅威アクターによるものと特定されましたが、2025 年には北朝鮮のグループによるゼロデイは特定されませんでした。

金銭目的の悪用が急増

2025 年には、金銭目的の脅威グループによるものと推定または確認された 9 件のゼロデイ脆弱性悪用を追跡しました。これには、ランサムウェアの展開につながった攻撃で報告された 2 件のゼロデイ脆弱性悪用が含まれます。この数字は、2023 年に金銭目的のグループによるものと特定された 10 件のゼロデイ（過去最多）とほぼ同数で、2024 年に金銭目的のアクターによるものと特定された 5 件のゼロデイのほぼ 2 倍です。金銭目的のグループによるゼロデイ脆弱性悪用の総数は年によって変動していますが、これらの脅威アクターがゼロデイの状況に継続的に存在していることは、こうしたアクターによるゼロデイ脆弱性利用型不正プログラムの開発と展開への投資が続いていることを示しています。ランサムウェアアフィリエイトを含む金銭目的のアクターは、企業を対象とした多数の脆弱性利用型不正プログラムに関連しており、これは GTIG が複数の動機にわたって観察してきた傾向を反映しています。

過去 5 年間のうち 4 年間（2021 年、2023 年、2024 年、2025 年）で、FIN11 または関連するクラスタによるゼロデイ脆弱性悪用が確認されています。2025 年 9 月下旬、GTIG は、CL0P 恐喝ブランドとの関連を主張する脅威アクターによる、新たな大規模恐喝キャンペーンの追跡を開始しました。このブランドを主に使用してきたのが FIN11 です。脅威アクターは、多数の組織の経営幹部に対して、被害者の Oracle E-Business Suite（EBS）環境から機密データが盗まれたと主張する大量のメールを送信しました。GTIG の分析によると、CL0P の恐喝キャンペーンは、数か月にわたって行われた EBS の顧客の環境を標的とした侵入活動の後に実施されました。脅威アクターは、2025 年 8 月 9 日という早い時期に、Oracle EBS の顧客に対するゼロデイとして CVE-2025-61882 と CVE-2025-61884 またはその一方を悪用しました。これは、パッチが利用可能になる数週間前のことであり、さらに遡ると 2025 年 7 月 10 日から不審な活動が確認されています。
GTIG は、2025 年 7 月中旬に CVE-2025-8088 を利用してマルウェアを配布した、金銭目的のグループ UNC2165 を特定しました。このグループの情報は Evil Corp に関して公開されているレポートの内容と重なる部分があり、その主要なメンバーはロシアにいます。この活動は、UNC2165 が初期アクセスにゼロデイを利用した最初の事例となりました。アンダーグラウンドでの活動や VirusTotal への RAR アーカイブ送信から得られたその他の証拠から、CVE-2025-8088 は同じ期間に他のアクターによっても悪用されたことがわかっています。それらのアクターには、CIGAR / UNC4895（一般に RomCom としても報告されています）と重なる部分がある疑いのある脅威クラスタも含まれます。UNC4895 は、金銭目的の活動とスパイ活動の両方を行ってきたロシアの別の脅威グループです。2024 年には、2 件のゼロデイ脆弱性悪用も行っています。

スポットライト: 注目すべき脅威アクターの活動と手法

ブラウザのサンドボックス回避

2025 年にブラウザのサンドボックス回避が多数発見されたことで、この分野の現在の傾向と動向を評価する機会を得られました。今年特定されたサンドボックス回避を分析したところ、ある重要な傾向が明らかになりました。いずれのサンドボックス回避も、ブラウザのサンドボックス自体に脆弱性があるのではなく（CVE-2021-37973、CVE-2023-6345、CVE-2023-2136 など）、使用されている基盤のオペレーティングシステムまたはハードウェアのコンポーネントの脆弱性を悪用するように特別に設計されていたのです。このセクションでは、これらの脆弱性の技術的な側面について簡単に説明します。

オペレーティングシステムベースのサンドボックス回避

CVE-2025-2783 は、Windows の Chrome サンドボックスを標的としていました。この脆弱性は、適切に検証されていないセンチネル OS ハンドル（-2）の不適切な処理が原因で発生しました。ipcz フレームワークを介してプロセス間通信（IPC）メッセージを操作することで、攻撃者はこれらの特別なハンドルをレンダラプロセスにリレーして戻すことができます。この脆弱性利用型不正プログラムにより、侵害されたレンダラがハンドルにアクセスできるようになり、より特権的なプロセス内にコードが挿入され、最終的にはサンドボックス回避が発生します。

CVE-2025-48543 は Android ランタイム（ART）に影響を与えました。ART は、アプリケーションのバイトコードをネイティブマシン命令に変換して実行速度と電力効率を向上させるシステムです。UAF の脆弱性は、本来インスタンス化すべきでない抽象クラスなどの Java オブジェクトのデシリアライゼーション中に発生しました。この脆弱性利用型不正プログラムの最も注目すべき点は、侵害された Chrome レンダラからバグに到達する手法です。この不正プログラムは、Android の最新バージョンで Binder トランザクションを送信し、シリアル化されたペイロードを Notification Parcel オブジェクトに埋め込んで配信します。その後、悪意のあるオブジェクトのアンパーセル（Unparcelling）化を受けて ART で UAF が発生し、system_server（システムレベルの権限で動作するサービス）内で任意のコードが実行されました。この特定の脆弱性クラスと攻撃ベクトルは一般には新しいものかもしれませんが、GTIG は過去に同じ攻撃ベクトルを使用して Chrome のサンドボックス回避を達成するために悪用されたパーセル不一致の N デイ脆弱性を確認しています。

デバイス固有のサンドボックス回避

CVE-2025-27038 は、Qualcomm Adreno GPU ユーザーランドライブラリの UAF 脆弱性です。一連の WebGL コマンドの実行後に、特別に細工された glFenceSync 呼び出しが行われることでトリガーされます。この脆弱性により、攻撃者は Android デバイスの Chrome GPU プロセス内でコードを実行できます。この脆弱性が、Chrome レンダラ（CVE-2024-0519）と KGSL ドライバ（CVE-2023-33106）の脆弱性と連鎖して悪用されていることが確認されました。

同様の事例として、CVE-2025-6558 は Mali GPU のユーザーランドライブラリを標的としていました。この脆弱性は、ブラウザによって適切に検証されなかった一連の OpenGLES 呼び出しによってトリガーされました。具体的には、前の glBeginTransformFeedback() オペレーションがアクティブなままの状態で、GL_TRANSFORM_FEEDBACK_BUFFER パラメータを使用して glBufferData() が発行されたため、ユーザーランドドライバ内で境界外書き込みが発生しました。Google は、この特定の一連の呼び出しを無効にする検証を実装し、ANGLE でこの問題に対処しました。この脆弱性が、Chrome レンダラの脆弱性（CVE-2025-5419）と Linux カーネルの POSIX CPU タイマー実装の脆弱性（CVE-2025-38352）と連鎖して悪用されていることが確認されました。

また、CVE-2025-14174 は、Apple デバイスの Metal バックエンドに影響する脆弱性です。このケースでは、ANGLE は texImage2D オペレーションの実装中にバッファサイズを誤って伝達し、Metal GPU ユーザーモードドライバ内で境界外メモリアクセスが発生しました。

SonicWall のフルチェーン不正プログラム

2025 年後半、GTIG は SonicWall Secure Mobile Access（SMA）1000 シリーズアプライアンスの多層型の脆弱性利用型不正プログラムを収集しました。このエクスプロイトチェーンは、複数の脆弱性を利用して、標的のアプライアンス上で認証済みまたは未認証のリモートコード実行を root として提供していました。その中には、ゼロデイとして利用されていたものもありました。

認証バイパス（N デイ）

この脆弱性利用型不正プログラムは、認証された JSESSIONID セッショントークンがある場合とない場合の両方で利用できます。トークンなしで実行された場合、SMA 1000 の中央管理サーバー機能内の SSO トークン生成の弱点を悪用して、組み込みの admin ユーザーのトークンを取得しようとします。

この脆弱性は、CVE-2025-23006 の一部としてパッチ適用済みです。Microsoft Threat Intelligence Center（MSTIC）によって SonicWall に報告され、2025 年 1 月にパッチが適用される前に実際に悪用されたと伝えられています。GTIG は現時点で、この脆弱性の以前の悪用が、今回の新しいエクスプロイトチェーンの使用に関連しているかどうかを評価できていません。

リモートコード実行（N デイ）

この脆弱性利用型不正プログラムは、標的の有効なセッション Cookie を取得すると、デシリアライゼーションの脆弱性を利用してリモートコード実行を試みます。この脆弱性では、オブジェクトがシリアル化されて Base64 でエンコードされ、完全性チェックなしでウェブアプリケーションクライアントとアプライアンスサーバーの間でやり取りされます。これにより、攻撃者は悪意のある Java オブジェクトを偽造してサーバーに送信できます。サーバーがこのオブジェクトを解析することで、任意の Java バイトコードが実行されます。この不正プログラムはこのプリミティブを利用し、Java シリアル化関連の脆弱性の悪用を支援するためによく使用されるツール、ysoserial によって生成されたペイロードを使用して、任意のシェルコマンドを実行します。

この脆弱性は、クライアントに送信する前のオブジェクトを AES-256-ECB で暗号化することで修正されました。暗号化には、サーバーの起動時にランダムに生成され、メモリに保存されるエフェメラル鍵が使用されます。鍵を知らない状態でペイロードを改変しても、正常に解析されません。これにより、暗号鍵を漏洩させる別の脆弱性がない限り、信頼できないオブジェクトをデシリアライゼーションするリスクが軽減されます。このパッチは、目立たない形で CVE を付けずに 2024 年 3 月にリリースされました。

ローカル権限昇格（ゼロデイ）

前述のデシリアライゼーションの脆弱性を悪用した不正プログラムは、管理ウェブアプリケーションをホストする Java プロセスを実行する mgmt-server ユーザーとして、任意のシェルコマンドを実行できるようになります。この不正プログラムは、ルート権限にエスカレートするために ctrl-service のゼロデイ脆弱性を利用しました。これは、Python で記述され、ポート 8081 のループバックアドレスにバインドされたカスタム XML-RPC サービスです。このサービスにより、リモートの攻撃者が直接デバイスにアクセスすることはできなくなりますが、より低い権限レベルでコードを実行できる状態になっていればアクセスが可能です。この脆弱性は、新たに発見された RCE 脆弱性と組み合わせるか、アプライアンスへの直接のコンソール / SSH アクセスと組み合わせることで悪用される可能性がありますが、現時点では、前述の RCE 脆弱性利用型不正プログラムと連鎖していることしか確認されていません。

GTIG はこの脆弱性を SonicWall に報告し、SonicWall は 2025 年 12 月にパッチ（CVE-2025-40602）を公開しました。この脆弱性を修正するため、SonicWall はサービスに署名検証を追加し、署名されていないファイルが実行されないようにしました。

DNG の脆弱性

このセクションでは、特に CVE-2025-21042 を悪用するサンプルについて検証します。この脆弱性については、GTIG はゼロデイ悪用を確認していません。しかし、ゼロデイである CVE-2025-21043 と CVE-2025-43300 と脆弱性悪用の条件が同じであるため、基盤となる脆弱性悪用の手法について説明しておきます。

2024 年 7 月から 2025 年 2 月にかけて、複数の不審な画像ファイルが VirusTotal にアップロードされました。Meta からの情報のおかげで、Google Threat Intelligence Group はこれらのサンプルに注目できました。これらの画像を調査したところ、Samsung デバイス専用の画像解析ライブラリである Quram ライブラリを標的とした Digital Negative（DNG）画像であることがわかりました。

これらの複数の脆弱性利用型不正プログラムから VirusTotal に送信されたファイルの名前から、これらの画像が WhatsApp 経由で受信されたことがわかりました。しかし、最終的なペイロードは、この不正プログラムが com.samsung.ipservice プロセス内で実行されることを想定していることを示していました。これは、他の Samsung アプリケーションに「インテリジェント」な機能、つまり AI を活用した機能を提供する Samsung 固有のシステムサービスであり、Android の MediaStore 内の画像や動画を定期的にスキャンして解析します。

WhatsApp が受信してダウンロードした画像は、MediaStore に挿入されます。これにより、ダウンロードされた WhatsApp の画像（および動画）が、com.samsung.ipservice アプリケーション内の画像解析攻撃対象領域に到達するようになります。ただし、信頼できない連絡先からの画像を WhatsApp 側で自動的にダウンロードすることはありません。追加のバイパスがない場合、画像が信頼できない連絡先から送信されたとすると、標的側が画像をクリックしてダウンロードをトリガーし、MediaStore に追加する必要があります。これは「1 クリック」脆弱性利用型不正プログラムに分類されます。GTIG は、このようなバイパスを使用してゼロクリックで脆弱性悪用を行った攻撃者に関する情報や証拠を一切得ていません。

com.samsung.ipservice には、C++ で記述された「Quram」という独自の画像解析ライブラリが付属しています。画像解析は、サービスの権限に関してサンドボックス化されていないプロセス内で行われます。これは Rule Of 2 （※ 2 つのルールの原則）に違反しており、1 つのメモリ破損の脆弱性によって、com.samsung.ipservice がアクセスできるすべてのもの、つまりスマートフォンの MediaStore 全体に攻撃者がアクセスできるようになることを意味します。

強力なメモリ破損の脆弱性（CVE-2025-21042）を発見した攻撃者は、まさにこれを実行しました。これにより、ヒープバッファの制御されたオフセットで、制御された境界外書き込みが可能になります。この 1 つの脆弱性により、攻撃者は com.samsung.ipservice プロセス内でコードを実行し、そのプロセスの権限でペイロードを実行することができました。

攻撃者にとって、ASLR をバイパスするためにいくつかの技術を駆使しなければならなかった点を除き、大きな障害はありませんでした。ポインタ認証コード（PAC）や Branch Target Identification（BTI）など、制御フローの整合性を保護するための対策は Quram ライブラリにコンパイルされていません。このため、攻撃者は任意のアドレスを Jump-Oriented Programming（JOP）ガジェットとして使用し、偽の vtable を構築できました。また、Scudo アロケータも適切なセキュリティ強化手法を適用できませんでした。DNG 形式に多かれ少なかれ固有のものであるヒープスプレーのプリミティブは強力で、Scudo のランダム化戦略を使用しても、ヒープレイアウトの予測が可能になります。Android に Scudo の「検疫」機能がないことも、解放された割り当てを確定的に再利用する際に好都合です。

このケースから、特定の画像形式が提供する、すぐに使用できる強力なプリミティブによって、単一のメモリ破損バグがゼロクリックの ASLR バイパスに変換され、結果的にリモートコードが実行されることがわかります。CVE-2025-21042 を使用してピクセルバッファの境界が破損された場合、その後に DNG 仕様とその実装を利用した脆弱性悪用が発生する可能性があります。

このケースで悪用されたバグは、強力であると同時に、かなり浅いものでした。Project Zero の Reporting Transparency に示されているように、同じコンポーネントの他の脆弱性がここ数か月でいくつか発見されています。

この種の脆弱性利用型不正プログラムは、長く複雑なエクスプロイトチェーンの一部でなくても、攻撃者にとって有用な成果を上げることができます。関連する脆弱性を 1 つ含む適切な攻撃対象領域に到達する方法を見つけることで、攻撃者は Android の MediaStore のすべての画像と動画にアクセスできるようになるため、スパイウェアベンダーにとって強力な機能です。

この脆弱性利用型不正プログラムに関するより詳細な技術分析については、Project Zero のブログをご覧ください。

防御の優先順位付けとゼロデイ脅威の軽減

防御者は、侵害が発生した場合を想定するのではなく、実際の侵害に備える必要があります。GTIG は、Mandiant によるインシデント対応調査レポートにおいて、最多の初期アクセスベクトルが脆弱性利用型不正プログラムであることを継続的に観測しています。その数は、盗まれた認証情報やフィッシングなどの他のベクトルを圧倒しています。システムアーキテクチャを設計および構築する際に、セキュリティ意識を組み込み、セグメント化と最小権限によるアクセスをアーキテクチャに固有のものとする必要があります。包括的な防御対策と対応への取り組みには、監査とメンテナンスの対象となるすべてのアセットのリアルタイムインベントリが必要です。予防的な方法ではありませんが、システムとネットワークの両方で継続的なモニタリングと異常検出を行い、高度かつ実用的なアラート機能を組み合わせることで、脅威が発生したときにリアルタイムで検出して対処できます。

以下で、個人用デバイスと組織のインフラストラクチャの両方をゼロデイ脆弱性悪用から防御するためのアプローチとガイドラインの一部を紹介します。

1. アーキテクチャのセキュリティ強化と攻撃対象領域の削減

インフラストラクチャ:

侵害された外部コンポーネントからのラテラルムーブメントを防止するため、DMZ、ファイアウォール、VPN を、コアネットワークやドメインコントローラなどの重要なアセットから適切かつ確実にセグメント化します。
アプリケーション内の実行フローをモニタリングして、不正なデータベースクエリとシェルコマンドをブロックします。
必須でない場合は、デバイスのネットワークポートをインターネットに公開しないでください。

個人用デバイス:

脆弱性が悪用されるリスクが高まっている場合は、デバイスの電源を切るか、自宅に保管しておくか、その両方を行います。
物理的な攻撃のリスクが高まっている場合は、デバイスを Before First Unlock（BFU）モードと USB 制限モードに設定します。
近接攻撃のリスクが高まっている場合は、モバイル、Wi-Fi、Bluetooth をオフにします。
パッチが利用可能になったらすぐに適用します。
可能な場合は、広告ブロッカーを使用し、Apple の広告プライバシー設定を構成し、Android のプライバシーサンドボックスオプションを有効にします。
Android の高度な保護機能モードと iOS のロックダウンモードを有効にします。
アプリケーションを削除し、サービスと機能を無効にします。デフォルトで有効になっているものも、使用しない場合は無効にします。

2. 高度な検出と行動モニタリング

インフラストラクチャ:

厳格なドライバブロックリストを適用し、従来の EDR では見落とす可能性のあるカーネルレベルの異常な動作にフラグを立てます。
「環境寄生型」（LotL：Living off the Land）アクティビティやその他の永続化メカニズムにフラグを立てられるように、システムプロセスのベースラインを確立します。
カナリアトークンとファイルを展開して、ラテラルムーブメントの高忠実度アラートを収集します。

個人用デバイス:

不審なリンクや添付ファイルを受け取った場合は、専門家のアドバイス（例: Amnesty、CitizenLab、Access Now など）を求めます。不審なアプリケーションやオペレーティングシステムのクラッシュが確認された場合も、同様に対応します。
Google の高度な保護機能プログラムに登録します。
Android の高度な保護機能モードを有効にします。
Chrome のセーフブラウジング保護強化機能を有効にします。
Safari の不正なウェブサイトに関する警告を有効にします。
Edge の保護強化機能を有効にします。

3. 運用面での対応

インフラストラクチャ:

環境全体でソフトウェア部品構成表（SBoM）を管理し、公開されたゼロデイ（例: Log4j）の影響を受けたライブラリを参照、特定します。
脆弱性に即時対応する必要がある場合に、標準の変更管理を迂回するプロセスを確立します。
パッチが利用できない場合は、特定のサービスを無効にする、境界で特定のポートをブロックするなど、一時的な対策でシステムとコンポーネントを切り離します。

個人用デバイス:

スマートフォンを定期的に再起動します。
知らない連絡先から送信されたリンクをクリックしたり、添付ファイルをダウンロードしたりしないでください。

ほとんどの組織では、リソースが限られており、導入するソリューションを選定する必要があるため、常に優先順位付けが課題となっています。リソースをどこに配置するかを選択するたびに、別のセキュリティニーズが無視されることになります。システムとインフラストラクチャを最適な形で防御するには、自社の脅威と攻撃対象領域を把握して、意思決定の優先順位を決定しましょう。

- Google Threat Intelligence Group

投稿先