Trend Micro「Apex One」の致命的RCE脆弱性2件を修正：CVE-2025-71210/71211の影響と今すぐやるべき対策
エンドポイント防御の中核として広く使われる「Trend Micro Apex One」に、リモートからコード実行（RCE）に至り得る重大な脆弱性が2件見つかり、修正パッチが提供されました。攻撃が成立すると、管理コンソール経由で不正コードをアップロードされ、Windows環境が侵害される恐れがあります。管理コンソールを外部公開している、あるいは到達可能なネットワーク境界が広い組織ほどリスクが高く、迅速な更新が重要です。
何が起きたのか：Apex One管理コンソールに「致命的」なRCEが2件
今回修正されたのは、Apex Oneの管理コンソールにおけるディレクトリトラバーサル（パストラバーサル）起点の問題で、遠隔からのコード実行に繋がり得る点が最も深刻です。
-
CVE-2025-71210（CVSS 9.8）：コンソールの不備を悪用し、悪意あるコードのアップロードやコマンド実行に至る可能性
-
CVE-2025-71211（CVSS 9.8）：上記と同様の性質だが、影響を受ける実行ファイル（コンポーネント）が異なる
重要なのは、Apex Oneが「端末を守る製品」だからこそ、ここが突破されると監視・隔離・ポリシー配布といった防御の司令塔が攻撃者に利用されかねない点です。侵害後の横展開、追加マルウェア投入、ログ改ざん、端末制御の奪取など、二次被害が一気に現実味を帯びます。
攻撃が成立しやすくなる条件：鍵は「管理コンソールへの到達性」
今回のRCEは「誰でもインターネットから即撃ちで成立」というタイプではなく、攻撃者が管理コンソールにアクセスできることが前提になりやすい性質です。とはいえ、現場では次のような事情で“到達可能”になっているケースが少なくありません。
-
運用都合で管理コンソールをインターネットに公開している
-
VPNやゼロトラスト導入前提のつもりが、例外設定や古い経路が残っている
-
拠点間NWや委託先NWから到達でき、境界が想定より広い
-
DMZ設置でも、到達元制限が甘い／踏み台が1台でも落ちると到達できる
つまり「認証があるから大丈夫」「社内システムだから安心」といった前提は、侵害が起きた瞬間に崩れます。**“到達できる人（端末）を減らす”**ことが、パッチ適用と並ぶ最優先事項です。
影響範囲：Windows中心、SaaS版は緩和済み
報告内容では、主にWindows環境の脆弱なインストールが焦点です。一方で、**SaaS版はすでに緩和（対策済み）**とされ、利用者側の追加作業が不要なケースがあります（ただし自社の提供形態がSaaSかオンプレか、混在していないかは要確認です）。
オンプレミス／自己管理環境を運用している場合は、提供された更新プログラムの適用が必須です。
修正内容の要点：Critical Patch Build 14136 などで対応
修正は、Apex Oneに対するセキュリティアップデートとして提供され、対象環境ではCritical Patch Build 14136などの適用が推奨されています。RCEの2件だけでなく、関連して次のような“重要度の高い”問題も同時に意識すべきです。
-
権限昇格（ローカル）：Windowsエージェント側の高深刻度の不備（低権限実行→高権限化の足掛かり）
-
macOSエージェント側の複数問題：Mac端末を管理対象に含む組織は見落とし注意
RCEでサーバ側（管理コンソール）が狙われ、端末側では権限昇格が狙われる——この組み合わせは、侵害後の展開を加速させます。「サーバだけ」「Windowsだけ」などの限定対応は危険です。
今すぐやるべき対策：優先順位つきチェックリスト
ここからは、被害を最小化するための“順番”で整理します。すでにパッチ適用済みでも、境界対策と検知観点は残ります。
1) まずは更新（パッチ適用）を最優先で実施
-
管理コンソール（サーバ）を対象に、該当する修正版へ更新
-
エージェント（Windows / macOS）も、同時公開の修正があれば合わせて展開
-
検証→段階展開の運用でも、外部到達性がある環境は例外扱いで前倒しが基本
2) 管理コンソールの露出を即時に絞る（パッチ前でも効果大）
-
インターネット公開を停止、または到達元IP制限（社内固定IP/VPN出口のみ等）
-
管理ネットワークを分離し、運用端末からのみ到達可能にする
-
リバースプロキシ配下でも、認証・WAF以前にネットワークレイヤで閉じる発想が重要
3) 侵害前提の“痕跡確認”を行う
更新の前後で、次を最低限チェックしてください。
-
管理コンソール周辺の不審なファイル作成・更新（予期しない配置、タイムスタンプの偏り）
-
サーバ上のプロセス実行履歴、スケジュールタスク、サービス追加
-
管理コンソールへのログイン履歴、管理操作ログの急増・深夜帯集中
-
端末側での不審な権限昇格挙動（管理者権限の異常使用）
「何も起きていない前提」で片付けず、**“踏まれていないことの確認”**を作業として組み込むのが現実的です。
4) 運用ルールをこの機会に整える（再発防止）
-
管理コンソールの外部公開は原則禁止、必要時は期限つき例外にする
-
管理用アカウントの多要素認証（可能な範囲で）、強固なパスワード運用、棚卸し
-
パッチ適用のSLA（重大度別の期限）を定め、適用漏れを可視化
まとめ：Apex Oneの“中枢”が狙われる脆弱性、更新と露出削減が最短ルート
CVE-2025-71210/71211は、Apex Oneの管理コンソールに関わる致命的（CVSS 9.8）なRCEで、成立すればセキュリティ運用の中枢が攻撃者に利用される恐れがあります。対応の要点はシンプルで、(1) 速やかな更新、(2) 管理コンソールの到達性を絞る、(3) 痕跡確認の3点です。
特に、管理コンソールを外部公開している、もしくは到達可能なネットワークが広い環境は、優先度を一段上げてください。パッチ適用は“いつかやる”作業ではなく、侵害リスクを現実から遠ざける最短の手段です。
