Contexto
Esta é uma Notificação de Vulnerabilidade Extraordinária (NDV) emitida em caráter de urgência pelo time de Inteligência de Ameaças Cibernéticas da SEK em 06 de agosto de 2025.
A Trend Micro confirmou a exploração ativa de duas vulnerabilidades críticas em seu Apex One, rastreadas como CVE-2025-54948 (CVSS 9.4) e CVE-2025-54987 (CVSS 9.4), que permitem execução remota de código através de injeção de comandos não autenticada no console de gerenciamento.
Estas vulnerabilidades representam um risco extremamente alto para organizações que utilizam Trend Micro Apex One on-premise, pois atacantes podem comprometer completamente os servidores de gerenciamento sem necessidade de autenticação prévia. A Trend Micro confirmou pelo menos uma tentativa de exploração ativa em ambiente real.
Trend Micro Apex One
Descrição da vulnerabilidade
As falhas de segurança consistem em vulnerabilidades de injeção de comando não autenticadas no console de gerenciamento que permitem a atacantes remotos executar código arbitrário e carregar malware malicioso nos servidores afetados. Ambas as vulnerabilidades representam essencialmente a mesma falha, porém direcionadas a diferentes arquiteturas de CPU, expandindo a superfície de ataque. A exploração não requer autenticação prévia, permitindo que atacantes com acesso ao console de gerenciamento comprometam completamente as instalações vulneráveis.
Produtos e versões afetadas
- Trend Micro Apex One (on-premise) – 2019 Management Server Version 14039 e anteriores
- Trend Micro Apex One as a Service – mitigação implementada em 31 de julho de 2025
- Trend Vision One Endpoint Security - Standard Endpoint Protection – mitigação implementada em 31 de julho de 2025
Remediações de contorno
A Trend Micro disponibilizou a ferramenta de mitigação temporária FixTool_Aug2025.exe que oferece proteção completa contra exploits conhecidos. Esta solução desabilita temporariamente a funcionalidade Remote Install Agent, impedindo administradores de implementar agentes diretamente pelo console de gerenciamento. Métodos alternativos de instalação como caminho UNC ou pacotes de agente permanecem inalterados. Organizações com endereços IP do console expostos externamente devem implementar restrições de origem.
Solução
Fontes
Context
This is an Extraordinary Vulnerability Notification (NDV) issued as an urgent alert by SEK's Cyber Threat Intelligence team on August 06, 2025.
Trend Micro has confirmed active exploitation of two critical vulnerabilities in its Apex One, tracked as CVE-2025-54948 (CVSS 9.4) and CVE-2025-54987 (CVSS 9.4), that allow remote code execution through unauthenticated command injection in the management console.
These vulnerabilities represent an extremely high risk for organizations using Trend Micro Apex One on-premise, as attackers can completely compromise management servers without requiring prior authentication. Trend Micro has confirmed at least one active exploitation attempt in a real environment.
Trend Micro Apex One
Vulnerability description
The security flaws consist of unauthenticated command injection vulnerabilities in the management console that allow remote attackers to execute arbitrary code and upload malicious malware to affected servers. Both vulnerabilities represent essentially the same flaw but target different CPU architectures, expanding the attack surface. Exploitation does not require prior authentication, allowing attackers with access to the management console to completely compromise vulnerable installations.
Affected products and versions
- Trend Micro Apex One (on-premise) – 2019 Management Server Version 14039 and earlier
- Trend Micro Apex One as a Service – mitigation implemented on July 31, 2025
- Trend Vision One Endpoint Security - Standard Endpoint Protection – mitigation implemented on July 31, 2025
Workaround remediations
Trend Micro has provided the temporary mitigation tool FixTool_Aug2025.exe that offers complete protection against known exploits. This solution temporarily disables the Remote Install Agent functionality, preventing administrators from deploying agents directly through the management console. Alternative installation methods such as UNC path or agent packages remain unaffected. Organizations with console IP addresses exposed externally should implement source restrictions.
Solution
Sources
Contexto
Esta es una Notificación de Vulnerabilidad Extraordinaria (NDV) emitida con carácter de urgencia por el equipo de Inteligencia de Amenazas Cibernéticas de SEK el 06 de agosto de 2025.
Trend Micro ha confirmado la explotación activa de dos vulnerabilidades críticas en su Apex One, rastreadas como CVE-2025-54948 (CVSS 9.4) y CVE-2025-54987 (CVSS 9.4), que permiten ejecución remota de código a través de inyección de comandos no autenticada en la consola de gestión.
Estas vulnerabilidades representan un riesgo extremadamente alto para organizaciones que utilizan Trend Micro Apex One on-premise, ya que los atacantes pueden comprometer completamente los servidores de gestión sin requerir autenticación previa. Trend Micro ha confirmado al menos un intento de explotación activa en un ambiente real.
Trend Micro Apex One
Descripción de la vulnerabilidad
Las fallas de seguridad consisten en vulnerabilidades de inyección de comandos no autenticadas en la consola de gestión que permiten a atacantes remotos ejecutar código arbitrario y cargar malware malicioso en los servidores afectados. Ambas vulnerabilidades representan esencialmente la misma falla pero dirigidas a diferentes arquitecturas de CPU, expandiendo la superficie de ataque. La explotación no requiere autenticación previa, permitiendo que atacantes con acceso a la consola de gestión comprometan completamente las instalaciones vulnerables.
Productos y versiones afectadas
- Trend Micro Apex One (on-premise) – 2019 Management Server Version 14039 y anteriores
- Trend Micro Apex One as a Service – mitigación implementada el 31 de julio de 2025
- Trend Vision One Endpoint Security - Standard Endpoint Protection – mitigación implementada el 31 de julio de 2025
Remediaciones alternativas
Trend Micro ha proporcionado la herramienta de mitigación temporal FixTool_Aug2025.exe que ofrece protección completa contra exploits conocidos. Esta solución deshabilita temporalmente la funcionalidad Remote Install Agent, impidiendo que los administradores desplieguen agentes directamente a través de la consola de gestión. Métodos alternativos de instalación como ruta UNC o paquetes de agente permanecen inalterados. Las organizaciones con direcciones IP de consola expuestas externamente deben implementar restricciones de origen.
Solución
Fuentes
Central de Conteúdos SEK
Acesse nossa central de conteúdos e confira os mais recentes relatórios e notícias sobre cibersegurança.
Acessar Central de Conteúdos