サイバーセキュリティ

ThingsBoardにおけるプロトタイプ汚染の脆弱性

JVNは2026年6月16日、IoTプラットフォームThingsBoardのv4.3.1.2より前のバージョンにプロトタイプ汚染の脆弱性（CVE-2026-53676）が存在すると発表しました。この脆弱性により、テナント管理者権限を持つユーザーによってサンドボックス内で任意のコードが実行される可能性があります。JPCERT/CCおよびIPAは、開発者が提供する情報に基づき、速やかに最新版へアップデートするよう呼びかけています。

この発表の要点

企業・自治体への影響

ThingsBoardを利用している企業や組織のIT部門、システム運用部門、セキュリティ部門は、この脆弱性によるシステム停止やデータ改ざんのリスクに直面する可能性があります。特にIoTデバイス管理やデータ収集にThingsBoardを使用している場合、業務継続性やデータ保全に重大な影響を及ぼす恐れがあります。

対応すべきこと

対応優先度： 高 　任意のコード実行の脆弱性であり、システムへの深刻な影響が懸念されるため、速やかな対応が求められます。

対象部門： 経営者 情シス 広報

対応期限：速やかに確認

基本データ

企業・団体 JPCERT/CC および IPA
業界 IT・ソフトウェア
発表日 2026-06-16
分類 サイバーセキュリティ

発表された内容

公開日：2026/06/16 最終更新日：2026/06/16

JVN#16937365
ThingsBoardにおけるプロトタイプ汚染の脆弱性

ThingsBoardにはプロトタイプ汚染の脆弱性が存在します。

ThingsBoard v4.3.1.2より前のバージョン

ThingsBoardには次の脆弱性が存在します。

プロトタイプ汚染（CWE-1321）

CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N 基本値 8.6
CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H 基本値 7.2
CVE-2026-53676

当該製品にテナント管理者（TENANT_ADMIN）権限でログイン可能なユーザによって、サンドボックス内で任意のコードが実行される可能性があります。

アップデートする
開発者が提供する情報をもとに、最新版へアップデートしてください。

ベンダ

リンク

ThingsBoard

ThingsBoard Release Table

Hardened remote JS executor script invocation#15600

この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方がIPAに報告し、JPCERT/CCが開発者との調整を行いました。
報告者：株式会社ラック 今井啓貴 氏

JPCERT 緊急報告

JPCERT REPORT

CERT Advisory

CPNI Advisory

TRnotes

CVE

CVE-2026-53676

JVN iPedia

JVNDB-2026-000086

Copyright (c) 2000-2026 JPCERT/CC and IPA. All rights reserved.

出典: JVN 脆弱性情報
URL: https://jvn.jp/jp/JVN16937365/

時系列

この事例から確認すべきポイント

JVNが公開したThingsBoardのプロトタイプ汚染の脆弱性は、IoTプラットフォームのセキュリティリスクの重要性を示しています。特に、テナント管理者権限を持つユーザーによって任意のコードがサンドボックス内で実行される可能性があるという点は、悪用された場合にシステム全体に深刻な影響を及ぼす恐れがあるため、非常に危険です。CVSS基本値も高水準であり、情報システム部門やセキュリティ担当者は、自社でThingsBoardを利用しているかを確認し、該当する場合は速やかに開発者が提供する最新版へのアップデートを実施する必要があります。このような脆弱性情報は、サプライチェーン全体のセキュリティ管理の重要性を再認識させるものであり、定期的なソフトウェアの脆弱性チェックとアップデート体制の確立が不可欠です。

公式出典

更新履歴

公開日: 2026-06-16

関連事例

自社のプレスリリースをPRazeに掲載しませんか？

PRazeを見る