RondoDoxボットネットがXWikiの脆弱性を悪用して攻撃を拡大中、セキュリティパッチの迅速な適用が急務

悪意あるボットネット「RondoDox」が、XWiki Platformの致命的なリモートコード実行脆弱性を悪用して攻撃を行っています。この脆弱性はCVE-2025-24893として追跡されており、アメリカのサイバーセキュリティおよびインフラセキュリティ庁（CISA）によれば、積極的に悪用されています。VulnCheckの報告によると、この脆弱性は暗号通貨の採掘者など複数の脅威行為者によって利用され、特にRondoDoxボットネットの運営者がこれを通じてサーバーをハッキングしています。

RondoDoxは2025年7月にFortinetによって初めて文書化された大規模なボットネットのマルウェアで、最近その活動が急増しています。10月初旬には、Trend MicroがRondoDoxが少なくとも30のデバイスを56の既知の脆弱性を通じて攻撃していると警告しました。その中には、Pwn2Ownハッキング大会で公開された脆弱性も含まれています。11月3日以降、VulnCheckはRondoDoxがCVE-2025-24893を悪用し、XWiki SolrSearchエンドポイントを通じて特別に作られたHTTP GETリクエストをサーバーに送信し、リモートシェルペイロードをダウンロードし実行していることを観察しました。

この過程でダウンロードされたスクリプト（rondo.<value>.sh）は、RondoDoxの主要ペイロードを取得し実行する初期段階のダウンローダーとして機能します。VulnCheckは11月7日に暗号通貨マイナーを配布する追加の攻撃を発見し、10月31日と11月11日にはbashリバースシェルをインストールしようとする試みも捉えました。また、Nucleiを使用した大規模なスキャンとXWiki SolrSearchエンドポイントでのGroovyインジェクションを通じて、cat /etc/passwdを実行しようとするペイロード送信の試みも記録されています。

XWiki Platformは主に自社ホスティングによる内部知識管理ソリューションのためのJavaベースのオープンソースエンタープライズウィキプラットフォームです。CVE-2025-24893はバージョン15.10.11および16.4.1以前に影響を及ぼしており、管理者には即座にパッチを適用することが推奨されます。VulnCheckの研究者たちは、初期攻撃が始まってから数日で複数の攻撃者がこの脆弱性を活用し始めたと報告しています。

このような状況は、強力なパッチ管理の重要性を改めて認識させます。CVE-2025-24893のような脆弱性は、一人の攻撃者が先んじて動くと、他の者たちがそれに続く傾向があります。VulnCheckのJacob Bainesは、初期の悪用から数日でボットネット、マイナー、機会主義的なスキャナーが同じ脆弱性を採用する様子が見られたと強調しています。したがって、関連するシステム管理者は脆弱性のパッチを迅速に適用し、セキュリティを強化する必要があります。

Fortinetは、企業向けのネットワークセキュリティ製品を提供する企業で、特にファイアウォールやエンドポイントセキュリティ、VPN、アンチウイルス、侵入防止システム（IPS）などのソリューションで知られています。代表的な製品にはFortiGateファイアウォールがあります。脆弱性としては、過去にファイアウォールやVPNに関連する認証の不備やリモートコード実行の脆弱性が報告されており、これらは特にCVE（Common Vulnerabilities and Exposures）として公開されています。定期的なパッチ適用と脆弱性管理が重要です。