XWEB EVOに脆弱性3件、認証前RCEは修正版あり
XWEB EVOを運用する組織に関わる、認証なしでroot権限の命令実行を許す脆弱性など3件が公表されました。5.7.0以上への更新に加え、残る2件は5.8.8でも影響するため、アクセス元の制限と移行の検討が必要です。
同じ発表の脆弱性 5 件
この記事でまとめた分です。発表元の告知には、ほかの脆弱性も載っていることがあります。
- CVE-2026-124002 重大 9.8
- CVE-2026-124005 高 9.2
- CVE-2026-124006 高 9.2
- CVE-2026-124012 高 9.2
- CVE-2026-124014 重大 9.1
急ぎ度: 至急
最も重い1件はCVSS v3が9.8で、認証なしにネットワークからroot権限で命令を実行され、修正版は5.7.0で出ていますが、残る2件は5.8.8でも影響を受けます。
関係があるか
Dixell/CopelandのXWEB EVOを自社で運用している組織、または設備の保守業者に運用を任せている組織が対象です。ネットワークから機器の管理画面に届く環境ほど、影響を受けやすくなります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| XWEB EVO 5.2.3以上5.7.0未満 | 3件すべて（CVE-2026-124002、CVE-2026-124005、CVE-2026-124006） | CVE-2026-124002は5.7.0。残る2件は5.7.0でも直りません |
| XWEB EVO 5.7.0以上5.8.8以下 | CVE-2026-124005とCVE-2026-124006の2件 | 修正版は示されていません |
| XWEB EVO 5.2.3未満 | CVE-2026-124005（4.3.0以上）とCVE-2026-124006（5.8.8以下で下限の記載なし） | 修正版は示されていません |
確かめ方
- 1XWEB EVOの管理画面や機器の表示で、動いている版を確認します。
- 2自社で入れた覚えがなくても、冷凍・冷蔵設備などの保守業者が設置している場合があります。設置の有無と版を、業者にも問い合わせてください。
- 3インターネット側や社外のネットワークから、機器のWeb画面に届くかどうかを、ファイアウォールやルーターの設定で確認します。
何が起きたか
XWEB EVOに、ネットワーク越しに機器の管理者権限や、OSのroot権限を奪われる脆弱性が3件公表されました（2026年11月12日）。ログイン画面を通らずに命令を実行されるもの1件と、パスワードを計算で割り出されるもの2件です。
- CVE-2026-124002: ログインの前に、ユーザー名欄から任意のOSコマンドを実行され、root権限で機器を完全に掌握される（CWE-78、CWE-306。CVSS v3は9.8、v4は9.3）
- CVE-2026-124005: 管理者の日替わりパスワードが、機器のMACアドレスと日付だけから計算できてしまい、不正にログインされる（CWE-330。CVSS v3は8.1、v4は9.2）
- CVE-2026-124006: LinuxのrootパスワードがMACアドレス由来の日替わりパスワードから導け、OSのroot権限を不正に得られる（CWE-798、CWE-1392。CVSS v3は8.1、v4は9.2）
rootパスワードは、5.7.0より前では全台で同一でした。5.7.0以降は機器ごとに変わりますが、MACアドレス由来の日替わりパスワードから導ける点は残っています。なお、この製品群は2026年3月にサポート終了を迎えています。
攻撃の流れ
-
1
機器に到達
ネットワーク上から、XWEB EVOのWeb画面に届く状態になっている。
-
2
ログイン前に命令
パスワード確認より前の処理の不備で、ユーザー名欄から任意のOSコマンドが実行される。
-
3
root権限で実行
root権限で動く仕組みと組み合わさり、命令がrootとして実行される。
-
4
機器を掌握
設定や接続先の情報を読み書きされ、機器全体を乗っ取られる。
どう悪用されるか
最も重いCVE-2026-124002は、認証もユーザーの操作も要らず、ネットワークから機器に届けば悪用できます。ログインの前に処理されるユーザー名欄の不備を突くもので、root権限で動く仕組みとの組み合わせにより、機器の完全な掌握に至ります。
CVE-2026-124005は、攻撃者がファームウェアのパスワード生成部分を解析し、MACアドレスと日付から管理者のパスワードを手元で計算するものです。サーバー側の秘密情報が関わらないため、機器とのやり取りなしに有効なパスワードを割り出せます。CVE-2026-124006も同じ性質で、固定の接頭辞と日替わりパスワードからrootパスワードを導けます。
3件とも、悪用されると機器の設定の改ざんや、機器を足場にした社内ネットワークへの侵入につながるおそれがあります。パスワード系の2件について、機器へ到達する経路の詳細は示されていません。
今すぐやること
-
1
動いている版を確認する
設置しているXWEB EVOをすべて洗い出し、版を確認します。保守業者が管理している機器も対象に含めます。
-
2
5.7.0以上へ更新する
5.2.3以上5.7.0未満の機器は、Copelandの更新ページから入手できる5.7.0以上に更新します。これで直るのは認証前のコマンド実行の1件だけで、パスワードを導かれる2件は残ります。
-
3
残る2件と移行をベンダーに確認する
パスワード系の2件は5.8.8でも影響を受け、修正版は示されていません。サポートは終了しているため、修正版の有無はCopelandの告知か保守業者に確認し、出る見込みがなければ後継機器への移行を計画します。
-
4
侵害の跡を調べる
5.7.0未満の版が外部から届く状態だった機器は、身に覚えのない管理者ログインや設定変更、不審な外部通信がないかを調べます。見つかれば、機器を切り離して初期化と資格情報の入れ替えを検討します。
すぐ更新できないとき
更新できない機器や、修正版のない2件への備えとしては、機器へ届く経路を絞ります。インターネットに公開している場合は公開をやめ、管理画面へのアクセスをVPNや許可した送信元のIPアドレスだけに限ります。ほかの社内システムと同じネットワークにある場合は、専用のセグメントに分けます。
背景
XWEBは、Dixell/Copelandが提供する冷凍・冷蔵設備向けの監視・管理用の製品群で、機器の状態をWebから確認するために使われます。現場に置かれたまま長く動き続けることが多く、業者任せで台帳に載っていないこともあります。
今回の3件で目を引くのは、日替わりの保守用パスワードの作りです。サーバー側の秘密を持たず、MACアドレスと日付だけで計算できるため、機器の仕組みを調べた人なら誰でも同じ値を導けます。5.7.0でrootパスワードの全台共通は解消されましたが、導出元は同じままでした。そのため、版を上げても残る問題があります。
よくある質問
Q.外部公開を止めれば、3件とも防げますか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| CopelandXWEB EVO |
5.2.3 以上 5.7.0 未満→ 5.7.0 |
5.7.0 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
XWEB EVO versions 5.2.3 through before 5.7.0 contains a pre-authentication OS command injection vulnerability that allows unauthenticated remote attackers to execute arbitrary OS commands by injecting shell metacharacters into the username field of login.lua, cleanout.lua, or api.lua before the password check occurs. Attackers can exploit this flaw combined with the setuid-root wlua interpreter to execute commands with root privileges, achieving full system compromise. This product line reached it's end of service date in March 2026.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web nvd.nist.gov
- web github.com