最新の注目ニュースをまとめてチェック！【2025年3月2日週】

IPAが「情報セキュリティ10大脅威 2025」を公開　新設された脅威がランクイン

情報処理推進機構（IPA）は、「情報セキュリティ10大脅威 2025」の解説書を公開した。「組織」向け脅威について、1位の「ランサム攻撃による被害」と2位の「サプライチェーンや委託先を狙った攻撃」は昨年と順位は変わらなかった。

また今回新設した「地政学的リスクに起因するサイバー攻撃」が7位に選出された。具体例として、国家の関与が疑われるとされるサイバー攻撃が挙げられている。

情報セキュリティ10大脅威 2025 [組織]：

順位	「組織」向け脅威	初選出年	10大脅威での取り扱い（2016年以降）
1	ランサム攻撃による被害	2016年	10年連続10回目
2	サプライチェーンや委託先を狙った攻撃	2019年	7年連続7回目
3	システムの脆弱性を突いた攻撃	2016年	5年連続8回目
4	内部不正による情報漏えい等	2016年	10年連続10回目
5	機密情報等を狙った標的型攻撃	2016年	10年連続10回目
6	リモートワーク等の環境や仕組みを狙った攻撃	2021年	5年連続5回目
7	地政学的リスクに起因するサイバー攻撃	2025年	初選出
8	分散型サービス妨害攻撃（DDoS攻撃）	2016年	5年ぶり6回目
9	ビジネスメール詐欺	2018年	8年連続8回目
10	不注意による情報漏えい等	2016年	7年連続8回目

独立行政法人情報処理推進機構：情報セキュリティ10大脅威 2025 [組織]

▼詳細はこちらをチェック

https://www.ipa.go.jp/pressrelease/2024/press20250130.html

VMware ESXi、VMware Workstation、VMware Fusionに脆弱性　すでに悪用も

Broadcomは、「VMware ESXi」「VMware Workstation」「VMware Fusion」に複数の脆弱性が見つかったとして注意喚起を行った。「CVE-2025-22224」「CVE-2025-22225」「CVE-2025-22226」の3件について明らかにされ、いずれも悪用が確認されており本件の重大度は「クリティカル」と示されている。

それぞれの詳細は次の通りになる。

「CVE-2025-22224」
- 「TOCTOU（Time-of-Check Time-of-Use）」によりヒープオーバーフローを発生、域外メモリへの書き込みが可能となる脆弱性
- ローカル管理者権限を持つ攻撃者によって、仮想マシンの「VMXプロセス」としてコードを実行することが可能
- 共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.3」と評価
「CVE-2025-22225」
- 「VMware ESXi」において「VMXプロセス」における権限を利用し、サンドボックスを回避して任意の書き込みが可能となる脆弱性
- CVSS基本値を「8.2」としている。
「CVE-2025-22226」
- 「HGFS」において域外メモリを読み込みできる脆弱性
- 仮想マシンの管理者権限を持つ場合に「VMXプロセス」のメモリ情報を取得できる
- CVSS基本値が「7.1」となっている。