2025年6月なにが起きた？ほぼこも的セキュリティまとめ｜ブログ(ほぼこもセキュリティニュース)

※この記事の全文は、2025年6月に「ほぼこもセキュリティニュース」で取り上げた情報をもとに、生成AIによって自動的に構成・要約しています。

祝・ほぼこもセキュリティニュース、1000回突破。
日々コツコツとアップしてきた弊ブログも、ついに大台の四桁に到達しました。
そんな節目をきっかけに、先月から“月イチまとめ”を始めてみたところ、ありがたいことにご好評いただき、第2回をお届けする運びとなりました。

生成AIの力も借りながら、前月の注目トピックをゆるっと棚卸し。現場で忙殺されがちなセキュリティ実務者のみなさんに向けて、「あ、そういえばこんな話あったな」という気づきのヒントになればと思っています。

サイバー脅威は日進月歩。ときには少し立ち止まって、状況を見渡すことも“守る仕事”のうちかもしれません。

それではさっそく、2025年6月のセキュリティ界隈を振り返っていきましょう。

サイバーセキュリティトレンドの概観：2025年6月の振り返り

2025年6月のサイバーセキュリティの動向を振り返ると、脅威の多様化と技術の進化が顕著でした。特に、LinuxやWindows、さらにはモバイル環境における新たな脆弱性の発見や、それを悪用する攻撃キャンペーンが目立ちました。また、AIの進化に伴い、生成AIを悪用した新たな攻撃手法が登場し、セキュリティ対策の複雑化が進んでいます。

LinuxとWindowsの脆弱性

UbuntuやRed Hat Enterprise Linuxにおけるコアダンプの脆弱性が発見され、ローカル攻撃者がシステムクラッシュ時のメモリ状態からパスワード情報を抽出するリスクが明らかになりました。これは、システムの安全性を脅かす重大な問題であり、迅速なパッチ適用とセキュリティ対策の見直しが求められます。

また、Microsoftのセキュアブート機能を悪用する新たな脆弱性も発見されており、システムの信頼チェーンを破壊する可能性が指摘されています。これはほぼすべてのUEFIを搭載するWindowsシステムに影響を与える深刻な問題であり、企業や個人ユーザーの双方にとって注意が必要です。

モバイルセキュリティの脅威

インフォスティーラーであり、Android向けバンキング型トロイの木馬である「Crocodilus」が活動範囲を拡大し、高度な難読化技術を駆使して検出を避ける手法を採用しています。

また、iOSとAndroidの両方をターゲットにした新型マルウェア「SparkKitty」が登場し、ユーザーの画像データから暗号資産情報を盗み出す攻撃が確認されました。

Webメールクライアントの脆弱性

Webメールクライアント「Roundcube」に、認証後リモートコード実行が可能な脆弱性（CVE-2025-49113）が発見されました。CVSSスコアは9.9で、バージョン1.6.10以前が影響を受けます。

当初は技術情報の公開が制限されていましたが、攻撃者がエクスプロイトを闇市場で販売開始したことで、研究者もやむなく詳細を公開しました。

AIの悪用

生成AIを使った新たな攻撃手法「Prompt Injection」が確認され、AIが提供するセキュリティサービスの信頼性に疑問を投げかける事態となりました。このようなAIの悪用は、今後のセキュリティ戦略において重要な考慮事項となるでしょう。

ソフトウェアの偽装と悪用

正規のソフトウェアと見分けがつかないほど精巧に偽装されたマルウェアが確認され、特に「SonicWall NetExtender」を装った偽ソフトウェアがユーザーの認証情報を盗む事件が発生しました。これにより、ソフトウェアのダウンロード源の正確な確認の必要性が再びクローズアップされました。

6月のまとめ

2025年6月は、“定番の技術”に潜む深刻なリスクが次々と露出した月となりました。

Linuxのコアダンプ処理やWindowsのセキュアブート機能など、システムの基盤に関わる脆弱性は、どれも見過ごせないインパクトを持っており、「信頼していた仕組み」の再点検が迫られています。加えて、WebメールクライアントのRoundcubeに発見されたRCE脆弱性は、CVSS 9.9という高スコア。しかも、エクスプロイトが闇市場で先に流通するという、なんとも現実的な展開となりました。

さらに今月は、ユーザーの手元を狙う攻撃も進化しています。モバイルマルウェアの高度化や、AIサービスに対するPrompt Injection、精巧に偽装された“偽ソフトウェア”による情報窃取など、攻撃の幅は一層広がりました。見慣れたアプリや操作に紛れてくる手口は、セキュリティ教育だけでは捉えきれない領域にも踏み込んできています。

総じて、6月の動きは「古くて新しい脆弱性」と「新しくて見えにくい攻撃」が同時多発的に発生した印象です。

こうした状況に対しては、全方位的な備えが必要です。
とはいえ、全部は無理。それでも、“基本の徹底”と“今っぽい変化への感度”を少しずつ重ねていくことが、現実的な防御線につながるはずです。

7月も、肩の力は抜きつつ、着実にアップデートしていきましょう。