XWEB EVOに脆弱性2件、認証なしで乗っ取り 修正版あり
Copeland製のXWEB EVOに、認証なしで管理者権限を得られる脆弱性と、root権限でコマンドを実行される脆弱性の2件が公表されました。5.6.2より前の版を使う組織は、修正版への更新と、ネットワークから届く範囲の確認を急いでください。
同じ発表の脆弱性 3 件
この記事でまとめた分です。発表元の告知には、ほかの脆弱性も載っていることがあります。
- CVE-2026-124004 重大 9.8
- CVE-2026-124007 高 9.2
- CVE-2026-124010 重大 9.8
急ぎ度: 至急
どちらも認証なしでネットワークから悪用でき、CVSS v3は最大9.8、v4は9.3と9.2で、修正版5.6.2が出ているため、更新を最優先にします。
関係があるか
XWEB EVOを運用している組織が対象です。管理画面にネットワークから届く環境ほど、影響を受けやすくなります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Copeland XWEB EVO | 5.6.2より前のすべての版 | 5.6.2 |
確かめ方
- 1XWEB EVOの管理画面で現在の版を確認し、5.6.2より前なら対象です。
- 2社内にXWEB300D/500D/500 EVOやXWEB3000/5000 EVOなど、EVO系の機器がないかを資産台帳で洗い出します。メーカーの更新ページには、これらの系統ごとの資料が並んでいます。
- 3管理画面のポートがインターネットや、管理外のネットワークから届く状態になっていないかを、ファイアウォールやルーターの設定で確認します。
何が起きたか
Copeland(Dixell)のXWEB EVOに、ログインしていない相手がネットワーク越しに管理者の権限を得られる脆弱性が2件公表されました。5.6.2より前の版が対象で、どちらも5.6.2で修正されています。
- CVE-2026-124004: 製品に固定で埋め込まれた資格情報により、組み込みのAdministratorアカウントとして1回の要求でログインできる（CVSS v3は9.8、v4は9.3。CWE-798）
- CVE-2026-124007: ログイン時のパスワード欄の値が無害化されないまま内部のパスワード処理に渡り、root権限でコマンドを実行できる（CVSS v3は8.1、v4は9.2。CWE-78）
後者は、login.lua、cleanout.lua、api.luaの3つのスクリプトが、パスワードの値をそのままhashpassの呼び出しに組み込む作りに原因があります。この呼び出しがsetuid付きのwluaインタープリター経由で動くため、コマンドがroot権限で実行されます。
攻撃の流れ
-
1
管理画面に到達
XWEB EVOのログイン画面にネットワークから届く位置を確保します。
-
2
認証を突破
固定の資格情報、またはパスワード欄への不正な入力で、ログインの審査を回避します。
-
3
高い権限を取得
管理者のセッション、またはroot権限のコマンド実行を手に入れます。
-
4
機器を掌握
アプリケーションと、その上で動く機器や設定の全体を操作されます。
どう悪用されるか
2件とも、ログインや利用者の操作は要りません。XWEB EVOにネットワークから接続できれば、攻撃が成立します。
CVE-2026-124004は、製品に固定で埋め込まれた資格情報が受け付けられる脆弱性です。1回の要求で管理者のセッションを得られ、アプリケーション全体を制御されます。
CVE-2026-124007は、ログイン処理を経由するため認証の前に悪用でき、成功するとroot権限で任意のコマンドが動きます。管理者権限にとどまらず、機器のOSそのものを握られる点が違います。
今すぐやること
-
1
管理画面で版を確認する
XWEB EVOごとに現在の版を確認し、5.6.2より前の機器を一覧にします。
-
2
5.6.2へ更新する
メーカーのSystem Software Updatesのページから、機種に合った更新を入手して適用します。2件とも5.6.2で修正されるため、更新は1回で済みます。
-
3
更新までの間、到達できる範囲を絞る
インターネットに公開している場合は、管理画面への外部からの接続を止めます。保守に必要な接続元だけを許可するか、VPN経由に切り替えます。
-
4
侵害の跡を調べる
管理者アカウントの見覚えのないログイン、設定やユーザーの変更、機器からの不審な外部通信がないかを確認します。心当たりがある場合は、root権限まで奪われた可能性を前提に、初期化と再設定も検討します。
-
5
サポートの状況を確認する
メーカーが出しているXWEB EVOの製品告知で、サポート状況と更新の提供条件を確認します。更新を適用できない機器は、後継機への移行計画を立てます。
すぐ更新できないとき
修正版を当てられない間は、XWEB EVOの管理画面を、インターネットや管理外のネットワークから届かないようにします。接続元をIPアドレスで制限するか、VPN経由でだけ接続できるようにします。これは到達範囲を狭めるつなぎにすぎず、脆弱性そのものは残ります。
背景
XWEBシリーズは、Copeland Controlsが提供する管理用のシステムソフトウェアで、XWEB300D/500D/500 EVOやXWEB3000/5000 EVOなど、系統ごとに更新と資料が分かれています。管理画面は機器の設定を一元的に扱う入口になるため、ここで認証を破られると、その先につながる機器の操作にまで影響が及びます。
今回の2件は種類が異なります。CWE-798は、製品に固定の資格情報を埋め込むもので、一度知られると全台に通用してしまいます。CWE-78は、入力値をそのままOSのコマンドに渡す不備で、ここでは特権付きのインタープリター経由で動くため、root権限に直結します。認証の手前にある処理で起きる点が、ログイン後の脆弱性より危険を大きくしています。
よくある質問
Q.管理者パスワードを変更すれば、固定の資格情報による侵入は防げますか。
Q.外部からの接続を止めれば、更新は後回しでよいですか。
まだ分かっていないこと
- CVE記録には回避策の記載がなく、メーカーが更新以外の暫定対策を示しているかは確認できません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| CopelandXWEB EVO |
5.6.2 未満→ 5.6.2 |
5.6.2 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
XWEB EVO before 5.6.2 contains a hardcoded backdoor password vulnerability that allows unauthenticated remote attackers to gain full administrative access to the built-in Administrator account. Attackers can authenticate using the hardcoded credential xwebevonewgeneration in a single request to obtain a complete admin session and full control over the application. This product line reached it's end of service date in March 2026.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory