Trend Micro「TrendAI Vision One Service Gateway」に情報漏洩・権限昇格の脆弱性、JVNが注意喚起（CVE-2025-71386/71387）

「うちTrend Microのセキュリティ製品入れてるんだけど、アップデートの確認必要なの？」
「自動更新にしてれば大丈夫だよね…？」

チップス

ボス、トレンドマイクロのAIセキュリティ製品に脆弱性が出たって聞きましたでしゅ！

ボス

ああ、TrendAI Vision One Service Gatewayの話だな。JPCERT/CCとJVNが2026年7月30日に注意喚起を出している。機密情報の漏洩と権限昇格につながる脆弱性だぞ。

セキュリティ製品の脆弱性は、防御の砦が攻撃の足がかりになるという点で特に注意が必要だ。

この記事を読めば、本脆弱性の影響と確認すべき対応手順を把握できる。

脆弱性の概要と影響範囲

2026年7月30日、JPCERT/CCはトレンドマイクロ製品「TrendAI Vision One Service Gateway」に2件のセキュリティ脆弱性が存在するとJVN（JVNVU#98815601）を通じて公表した。
脆弱性はZero Day Initiative（ZDI）のリサーチャーによって発見・報告されたもので、いずれも認証済みユーザーによる悪用を前提とする。

単独での外部からの侵入には使えないが、すでに内部ネットワークへのアクセスを持つ攻撃者が権限を拡大したり、機密情報を窃取する「侵入後の横展開」に利用される恐れがある。

2件の脆弱性の詳細

各脆弱性の概要は以下の通りだ。

チップス

えっと…まず機密情報を盗んで、そのあと権限を上げる…でしゅか？

ボス

その通りだ。段階的に権限を積み上げる攻撃では、情報漏洩→権限昇格のチェーンが常套手段だな。

脆弱性の仕組みと企業への影響

TrendAI Vision One Service Gatewayは、エンドポイントセキュリティやクラウドセキュリティを一元管理するプラットフォームの「ゲートウェイ」コンポーネントだ。
この製品は日本の大企業・中堅企業に広く導入されており、影響を受ける可能性のある環境は少なくない。

なぜセキュリティ製品の脆弱性が特に危険なのか

セキュリティ製品の脆弱性が一般的なソフトウェアよりも深刻なのは、以下の理由からだ。

なお、トレンドマイクロの公式情報（KA-0023937）によれば、両脆弱性はすでに2025年12月の修正で解決済みだ。
月次メンテナンスで通常更新している顧客は追加対応不要だが、自動更新を無効にしている環境では最新バージョンへの手動アップデートが必要になる。

チップス

ボス、自分のところで使ってるかどうか、どうやって確認するんでしゅか？

ボス

トレンドマイクロの管理コンソールにログインして、Service Gatewayのバージョンを確認するんだ。月次メンテナンスを有効にしていれば対応不要だが、念のため確認してほしいな。

まとめ

TrendAI Vision One Service GatewayのCVE-2025-71386（機密情報漏洩）とCVE-2025-71387（権限昇格）は、認証済み攻撃者による内部の横展開リスクを高める脆弱性だ。
両脆弱性はすでに2025年12月に修正済みで、月次メンテナンスを有効にしている顧客は追加対応不要だ。
自動更新を無効にしている環境のみ、最新バージョンへのアップデートを確認してほしい。詳細はJVN（JVNVU#98815601）を参照されたい。

ボス

セキュリティ製品が狙われる時代だ。守る側の道具もきちんとアップデートしておくことが大事だな。

チップス

自分のセキュリティ製品のアップデートも確認しないといけないでしゅね！