概要

米国のサイバーセキュリティとインフラストラクチャセキュリティ庁（CISA）は、月曜日に Wing FTP に影響を与えるセキュリティの脆弱性をその「既知の悪用されている脆弱性」（KEV）カタログに追加しました。この脆弱性は、特定の条件下でアプリケーションのインストールパスを漏洩する情報漏洩の脆弱性です。

脆弱性の詳細

CVE-2025-47813（CVSSスコア：4.3）は、UIDクッキーを使用して長い値を入力した場合にエラーメッセージに敏感な情報を含む脆弱性です。この欠陥は、バージョン 7.4.3 以前のすべてのソフトウェアに影響を及ぼします。

影響と対策

• この脆弱性は、2025年7月からアクティブに悪用されています。
• 攻撃者は、この脆弱性を利用して悪意のある Lua ファイルをダウンロードおよび実行し、偵察を行い、リモート監視および管理ソフトウェアをインストールしています。
• バージョン 7.4.4 は、2025年5月にリリースされ、この脆弱性を含む CVE-2025-47812（CVSSスコア：10.0）を修正しています。

対策の推奨

連邦民事執行機関（FCEB）の機関は、2026年3月30日までに必要な修正を適用することを推奨されています。

まとめ

この脆弱性は、攻撃者がサーバーパスを取得し、他の脆弱性（例えば CVE-2025-47812）を悪用するのに役立つ可能性があります。

元記事: https://thehackernews.com/2026/03/cisa-flags-actively-exploited-wing-ftp.html