セキュリティ情報 SC2025-005


解説

この記事では、いくつかのSitecore製品の構成において重大な影響を持つ可能性のある脆弱性（SC2025-005, CVE-2025-53690）と、その利用可能な解決策についてお知らせいたします。この脆弱性が悪用されると、リモート コード実行や情報への不正アクセスにつながる可能性があります。 
Sitecoreのお客様およびパートナー企業の皆様には、以下の情報を熟知していただき、影響を受けるすべてのSitecoreのインスタンスに対し、Sitecoreのガイダンスに従っていただくことを推奨いたします。 また、お客様の環境をセキュリティがサポートされたバージョンに維持し、遅滞なくセキュリティの修正を適用していただくことを推奨いたします。  
脆弱性が影響する可能性のあるSitecore製品は次の通りです。

Sitecore製品 影響
 Experience Manager (XM)

影響を受ける
可能性あり *, **

 Experience Platform (XP)
 Experience Commerce (XC)
 Managed Cloud影響を受ける
可能性あり**
 XM Cloud影響なし
 Content Hub影響なし
 CDP and Personalize影響なし
 OrderCloud影響なし
 Storefront （旧称Four51 Storefront）影響なし
 Send影響なし
 Discover影響なし
 Search影響なし
 Commerce Server影響なし

* XP 9.0以前およびActive Directory 1.4以前向けのデプロイの手順書に記載されていたサンプルのキーを使用してデプロイされていたお客様はこの構成の脆弱性の影響を受ける可能性があるため、お客様の社内の手順に従って適切なパッチを適用してください。Managed Cloud Premiumのお客様は、指名されているソリューション エンジニアにご連絡いただくことで、パッチのインストールに関する直接のサポートを受けていただけます。

** この構成の脆弱性は、お客様が管理する静的マシン キーを使用してマルチ インスタンス モードでデプロイされている場合、全てのリリース向けの全てのバージョンのXM、XP、XCトポロジーに影響する可能性があります。また、マルチ インスタンス モードでデプロイされている場合、コンテナーを使用するManaged Cloud Standard環境にも影響する可能性があります。

このセキュリティ情報は、今後さらなる詳細が判明した場合、更新される場合があります。すべての更新情報の詳細な一覧につきましては、更新履歴節をご参照下さい。  

最新のセキュリティ情報に関する通知をご希望される場合は、セキュリティ情報を購読してください。

重大度の定義

お客様およびパートナー企業様に、潜在的なセキュリティ脆弱性の重大度の理解を深めていただくため、Sitecoreではセキュリティ脆弱性の重大度の定義の記事に記載されている定義を使用してセキュリティの問題をご案内いたします。  

解決策

よくある質問

Q. この脆弱性はManaged Cloudのサブスクリプションに影響しますか？
A. この脆弱性は、Managed Cloud StandardおよびManaged Cloud Premiumサブスクリプション双方に影響する可能性があります。上記の解決策を適用して、脆弱性の影響を緩和してください。

追加の参考資料

Mandiant: https://cloud.google.com/blog/topics/threat-intelligence/viewstate-deserialization-zero-day-vulnerability

更新履歴（英語版原本）