CISA、Cisco ISEおよびPaperCutの脆弱性をKEVカタログに追加

2025年7月28日、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、悪用が確認された3件の脆弱性を同庁の 悪用が確認された脆弱性（KEV）カタログ に追加しました——2件はCisco Identity Services Engine（ISE）、1件はPaperCutの印刷管理ソフトウェアの脆弱性です。拘束的運用指令（BOD）22-01に基づき、連邦民間機関は2025年8月18日までの対応を求められました。

Cisco ISEの脆弱性：認証不要のroot権限リモートコード実行

Ciscoの2件の脆弱性は、これ以上ないほど深刻です。 CVE-2025-20281 そして CVE-2025-20337 はいずれもCVSS最高値の10.0で、認証されていない遠隔の攻撃者が任意のコードを root 権限でCisco ISEおよびISE Passive Identity Connector（ISE-PIC）上で実行できます。一方は特定のAPIエンドポイントでの入力検証不備に、もう一方は安全でないデシリアライゼーションに起因します。影響を受けるのはリリース3.3と3.4のみですが、Ciscoは以前のホットフィックスでは完全には塞げないと警告しており、管理者は ISE 3.3 Patch 7 または 3.4 Patch 2。CiscoのPSIRTは7月下旬に実際の悪用の試みを確認しており、その後、公開の実証コード（PoC）が出回っています。

PaperCut NG/MFの脆弱性

3件目の脆弱性、 CVE-2023-2533は、PaperCut NG/MFに存在するクロスサイトリクエストフォージェリ（CSRF）の脆弱性で、CVSSは8.4です。有効なセッションを持つ認証済み管理者を悪意あるリンクのクリックへ誘導することで、攻撃者はセキュリティ設定を改変し、条件次第でリモートコード実行に至る可能性があります。影響を受けるのはバージョン21.2.0～22.0.12で、修正は22.1.1以降で提供されました。

今すぐ取るべき対応

Cisco ISE 3.3または3.4を運用している場合は、直ちに修正版へパッチを適用してください——認証不要でroot権限のリモートコード実行は最悪のシナリオであり、悪用コードはすでに公開されています。PaperCutの管理者は22.1.1以降へ更新し、想定外の設定変更があれば侵害の可能性として扱うべきです。3件の脆弱性はいずれもCISAのKEVカタログに登録されており、悪用は理論上ではなく現在進行中です——来四半期ではなく今週こそ優先すべき修正です。