CISA、D-Linkルーターの脆弱性3件を積極的悪用報告を受けてKEVカタログに追加

2025年8月6日Ravie Lakshmanan脆弱性 / ファームウェアセキュリティ

米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は火曜日、D-Linkルーターに影響を与える3件の古いセキュリティ脆弱性を、実際に悪用されている証拠に基づき、既知の悪用脆弱性（KEV）カタログに追加しました。

これらの高深刻度の脆弱性は2020年および2022年に発見されたもので、以下の通りです。

• CVE-2020-25078（CVSSスコア：7.5）- D-Link DCS-2530LおよびDCS-2670Lデバイスにおける未特定の脆弱性で、リモートから管理者パスワードが漏洩する可能性がある
• CVE-2020-25079（CVSSスコア：8.8）- D-Link DCS-2530LおよびDCS-2670Lデバイスに影響を与えるcgi-bin/ddns_enc.cgiコンポーネントの認証済みコマンドインジェクションの脆弱性
• CVE-2020-40799（CVSSスコア：8.8）- D-Link DNR-322Lにおける整合性チェックなしでコードをダウンロードする脆弱性で、認証済みの攻撃者がデバイス上でOSレベルのコマンドを実行できる可能性がある

これらの脆弱性がどのように実際に悪用されているかについては現時点で詳細はありませんが、米連邦捜査局（FBI）が2024年12月に発表した勧告では、CVE-2020-25078の脆弱性を持つウェブカメラを積極的にスキャンするHiatusRATキャンペーンについて警告しています。

CVE-2020-40799については、該当モデルが2021年11月にサポート終了（EoL）となったため、未修正のままであることに注意が必要です。DNR-322Lを引き続き使用しているユーザーは、使用を中止し、代替機種に切り替えることが推奨されます。他の2件の脆弱性については、D-Linkが2020年に修正パッチを公開しています。

積極的な悪用が確認されていることから、連邦民間行政機関（FCEB）は2025年8月26日までに必要な緩和策を実施し、ネットワークの安全を確保することが不可欠です。