エクシングCPTrans-ME-Xにおける複数の脆弱性

公開日：2026/09/04 最終更新日：2026/09/04

JVN#32505330
エクシングCPTrans-ME-Xにおける複数の脆弱性

株式会社エクシングが提供するCPTrans-ME-Xには、複数の脆弱性が存在します。

エクシング CPTrans-ME-X ファームウェア Ver 1.8.1.17より前のバージョン

株式会社エクシングが提供するCPTrans-ME-Xには、次の複数の脆弱性が存在します。

OSコマンドインジェクション（CWE-78）

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N 基本値 9.3
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 基本値 9.8
CVE-2026-62928
管理ポートからの入力内容の取り扱いに不備があり、細工された入力によって任意のOSコマンドが実行される可能性がある

認可されていない相手への機微なシステム情報の漏えい（CWE-497）

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N 基本値 8.7
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N 基本値 7.5
CVE-2026-66840
管理ポートからの入力内容の取り扱いに不備があり、細工された入力によってシステムに関する情報を取得される可能性がある

デフォルトパスワードの使用（CWE-1393）

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N 基本値 9.3
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 基本値 9.8
CVE-2026-69657
初期設定においてWeb UIの認証情報としてデフォルト値が設定されている

ハードコードされたパスワードの使用（CWE-259）

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N 基本値 9.3
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 基本値 9.8
CVE-2026-70403
ファームウェアにハードコードされている認証情報で管理ポートにログイン可能

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

認証なしにOSコマンドインジェクションが行われる（CVE-2026-62928）
認証なしにシステムに関する情報が取得される（CVE-2026-66840）
当該認証情報を知っている第三者にログインされる（CVE-2026-69657、CVE-2026-70403）

アップデートする
本JVN公表時点において、本件への対応として以下のような更新を適用したファームウェアアップデートが提供されています。

初期設定において管理ポートは無効
当該機器にログインした際に使用できるコマンドは管理作業に必要な最低限のもののみに制限

開発者によると、2026年4月に、FOTA（Firmware Over-The-Air）による該当製品へのアップデートを実施したとのことです。

ベンダ

リンク

株式会社エクシング

通信アダプタ CPTrans-ME-X

この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方がIPAに報告し、JPCERT/CCが開発者との調整を行いました。
報告者：株式会社ゼロゼロワン 佐藤勝彦(goroh_kun) 氏

JPCERT 緊急報告

JPCERT REPORT

CERT Advisory

CPNI Advisory

TRnotes

CVE

CVE-2026-62928

CVE-2026-66840

CVE-2026-69657

CVE-2026-70403

JVN iPedia

JVNDB-2026-000128

Copyright (c) 2000-2026 JPCERT/CC and IPA. All rights reserved.

出典: jvn@jvn.jp
URL: https://jvn.jp/jp/JVN32505330/