Android 12月パッチで2件のゼロデイ悪用確認、100件超の修正—CISAは12/23までの是正を通達です

今日の深掘りポイント

• 情報漏洩（CVE-2025-48633）と特権昇格（CVE-2025-48572）の2件が「限定的・標的型」で悪用中と報告です。前者は攻撃チェーンの足掛かり（ASLR回避など）になりやすく、後者はローカル権限昇格で恒久化・防御回避に直結します。
• 米CISAがKEV（既知悪用脆弱性）扱いで是正期限を12/23に設定と報道です。企業も同等のSLAで是正管理を回すべき局面です。
• 追加で100件超（報道では105件、別途107件とする情報も）の修正です。端末/ベンダ断片化を踏まえると、実地の適用完了率が最大リスクです。
• 現実的な攻撃は「アプリ配布（サイドロード/スミッシング）→情報漏洩で保護機構回避→EoPでシステム権限→メッセージ/通話/位置/キーチェーン抽出」の流れを想定です。商用スパイウェア/国家支援グループのTTPに合致します。
• エンタープライズはMDMでパッチレベル準拠をゲート化、ハイリスク人材から段階適用、未適用端末のワークプロファイル隔離・条件付きアクセス強制までを72時間で打ち切る運用が現実解です。

はじめに

Googleの12月Androidセキュリティ更新で、実際に悪用が観測される2件のゼロデイ（情報漏洩と特権昇格）が修正されました。米国ではCISAが連邦機関に12/23までの是正を求める運用期日を提示しており、企業にとっても優先度は最上位です。モバイルはMFA・メッセージング・位置情報・業務アプリのハブとなっており、単発のOS脆弱性でも業務インパクトが連鎖的に拡大します。今回は「数そのもの」より、ゼロデイ2件が攻撃チェーンで果たす役割と、断片化したAndroidエコシステムにおける実運用をどう切り回すかに焦点を当てます。

深掘り詳細

事実関係（確認できる情報）

• ゼロデイ2件が修正済みです。
  • CVE-2025-48633（情報漏洩）
  • CVE-2025-48572（特権昇格）
• いずれも「限定的・標的型」の悪用が確認されたとされています。米サイバー当局は是正期限を12/23に設定したと報道されています。
• 追加の修正は100件超で、報道では105件、別途107件との情報もあります（数え方やバンドルの差分が典型的に発生します）。
• 一次情報としては、Android Security Bulletin（12月号）およびCISA KEV掲載が基準になりますが、本稿では参照元の報道の範囲で記述しています。

出典（報道）:

• The Register: Google patches two Android zero-days exploited in the wild

編集部インサイト（攻撃チェーンと運用の要点）

• 役割分担で見ると、CVE-2025-48633（情報漏洩）はメモリ保護やサンドボックス越しの情報露出を通じてRCE/EoPの信頼性を上げる「前段」になりやすいです。過去事例でも、情報漏洩はASLR回避やポインタリーク、権限境界判定の回避に用いられることが多いです。
• CVE-2025-48572（特権昇格）はローカル権限境界を破り、永続化、ログ/監視の無効化、機微データの広範取得に直結します。商用スパイウェアや国家支援型のTTPでは、Webやメッセージ経由の初期侵入後にローカルEoPで支配域を拡大する定番パターンです。
• エンタープライズの最大リスクは「パッチの提供」ではなく「適用完了率」です。Androidはベンダ/キャリア/世代で配信タイミングがずれるため、12/23のような是正デッドラインを運用SLAに落とし、未適用端末を自動で段階隔離する設計が不可欠です。
• ゼロデイの実悪用が「限定的」であっても、社内には標的性の高い人材（経営層、幹部、外交・公共政策、研究開発、M&A、重要インフラ運転・保守）が存在します。これらハイリスク人材を先にパッチ充当・代替端末提供する運用が、全体最適につながります。

脅威シナリオと影響

以下は仮説に基づくシナリオです。MITRE ATT&CK for Mobileに沿って、戦術レベルでの整理を提示します（個別テクニックIDは環境・実装に依存するため名称ベースで記載します）。

• シナリオ1：標的型スパイウェア運用（高位標的）

  • 初期アクセス：スミッシング/メッセージング経由で不正アプリを誘導（Social Engineering, Malicious App Delivery）です。
  • 実行/権限昇格：ローカルEoPの悪用（Exploitation for Privilege Escalation）です。
  • 情報取得：SMS/メッセージ、通話履歴、連絡先、位置情報、スクリーンキャプチャ（Collection）です。
  • 永続化/防御回避：システム権限による自動起動設定、アイコン隠蔽、ログ抑止（Persistence, Defense Evasion）です。
  • 流出：HTTPS/TLSによるC2通信（Exfiltration over C2 Channel）です。
  • 影響：役員意思決定・外交交渉・入札戦略の漏えいなど、企業/公共セクタに直結です。

• シナリオ2：MFAバイパスと横断的な企業侵入

  • 初期アクセス：端末上の認証アプリ/プッシュMFA/OTPの可視化を狙うです。
  • 情報漏洩0-day：メモリアドレス/トークン一時領域の露出で保護機構を弱体化（情報漏洩の前段活用）です。
  • 権限昇格：アプリ制限を超えて通知内容取得/画面録画/Accessibility悪用（Privilege Escalation, Credential Access）です。
  • 影響：社内SaaSやIDプロバイダへの不正認証、クラウド横展開の踏み台化です。

• シナリオ3：BYOD経由の業務データ収集

  • 初期アクセス：個人端末に業務アプリ導入済みのケースです。
  • EoP：ワークプロファイル越しにメタデータや通知内容、クリップボードを取得（Defense Evasion/Collection）です。
  • 影響：メール要約・会議招待・連絡網などからOSINT拡張、BEC/フィッシングの精密化です。

全体として、2件のゼロデイは「単独で全能」ではなく、攻撃チェーンの信頼性と到達範囲を広げるブースターとして機能します。したがって、パッチ適用に加え「アプリ配布の制御」「条件付きアクセス」「可視化（MDM/EDR）」の三点セットで差分を埋めることが重要です。

セキュリティ担当者のアクション

優先度順（0–72時間）

• インベントリ即時化です。
  • MDM/EMMで「Androidセキュリティパッチレベルが2025-12-01（または12-05）未満」を動的グループ化です。
  • ハイリスク人材（役員・上席・要機密部門・OT現場）をタグ付けし、優先適用隊列に載せるです。
• アクセス制御の段階隔離です。
  • 上記未適用グループに対し、会社メール/チャット/SaaSは条件付きアクセス（閲覧のみ→ブロックまで段階）です。
  • ワークプロファイルをサスペンドし、個人領域は継続利用可とする等の運用で反発を抑えるです。
• 配布面の遮断です。
  • 「未知のアプリのインストール」「開発者向けオプション」「USBデバッグ」を組織既定で無効化です。
  • 企業アプリ配布は必ずManaged Play経由に限定です。
• 検知・対応プレイブックの即時共有です。
  • 新規にシステム権限/アクセシビリティ特権を要求するアプリのアラートを最上位にです。
  • 端末での急激なバッテリー消費・データ通信増・VPN常時接続などのベースライン逸脱を監視です。
  • 兆候があれば、ワークプロファイル隔離→端末交換（代替貸与）→フォレンジックの順にハンドオフです。

1–2週間

• 構成ベースラインの強化です。
  • 最低許容パッチレベルを2025-12-01（または12-05）に引き上げ、未達は自動隔離のポリシー化です。
  • BYODは「業務アクセスはWork Profile経由のみ」「スクリーンキャプチャ/クリップボード共有の制限」を標準にです。
• ログの可視化と相関です。
  • MDMアラート、IdPのMFAプッシュ失敗増、SaaSの異常地アクセス、DNSトンネリング兆候を相関分析です。
  • モバイルEDRがない場合、ネットワーク側（SWG/CASB/MDMログ）で代替の相関を強化です。
• 調達・ライフサイクルの是正です。
  • 端末選定基準に「月次パッチのSLA（例：リリース後15営業日以内）」「サポート年数（5年相当）」を明記です。
  • キャリア配信待ちが長い機種の更新サイクル短縮を検討です。

ハンティングのヒント（仮説ベース）

• 新規にSYSTEMレベル特権を持つパッケージの出現、Accessibility権限の新規付与、通知リスナーの異常な増加です。
• Play Protect無効化の痕跡、設定変更イベントの突発です。
• アプリ署名が使い回されているサイドロードアプリ、暗号化通信の宛先が最近取得のドメイン/匿名ホスティングです。

リスクコミュニケーション

• 社内告知は「限定的悪用＝関係ない」ではなく「標的型に当たると致命的」である点を強調です。
• 代替端末の即時提供、ワークプロファイルのみの一時開放など、業務停止を避ける代替パスをセットで案内です。

運用メモ

• 実務では12/23の期日に合わせ、前週中に「適用90%超」、期日前日に「未適用の強制隔離」を自動化するのが現実的です。
• 数（105 vs 107）のブレは珍しくありません。一次資料（Android Security BulletinとCISA KEV）を最終根拠に、MDMのコンプライアンスルールは「数」ではなく「パッチレベル」で定義するのが確実です。

参考情報

• The Register: Google patches two Android zero-days exploited in the wild