重大 9.4 急ぎ度: 早めに

TimePictraにXSS脆弱性、修正版12.0あり

Microchip TimePictraの12.0より前の版に、保存された不正なスクリプトが他の利用者の画面で動くクロスサイトスクリプティングの脆弱性があります。TimePictraを使う組織は、修正版の12.0へ更新し、低権限アカウントの棚卸しも進めてください。

CVE-2026-8333 公開 15:40 更新 15:40 執筆・監修: 佐々木航人が監修しながらAIを活用して執筆

急ぎ度: 早めに

CVSS v4は9.4（critical）で、修正版12.0が公開されているため、早めの更新を勧めます。

関係があるか

Microchip TimePictraを自社で運用している組織が対象です。複数の担当者や委託先がログインして使っている環境ほど、影響を受ける利用者が増えます。

製品	影響を受ける版	修正版
Microchip TimePictra	12.0より前のすべての版	12.0

確かめ方

1TimePictraの管理画面や導入時の資料で、稼働している版を確認します。12.0より前なら対象です。
2ログインできるアカウントの一覧を出し、低い権限で使える人と、その所属・委託先を把握します。
3対象の画面や入力欄、更新手順はMicrochipの告知で確認します。

何が起きたか

TimePictraに、画面へ保存された不正なスクリプトが、ほかの利用者の画面を開いたときに実行されてしまう脆弱性が見つかりました。2026年11月12日にCVEが公開され、Microchipは12.0で修正しています。

分類はCWE-79のクロスサイトスクリプティングで、入力内容が保存されたまま表示される「蓄積型」です。サーバーに残るため、一度仕込まれると、そのページを開く人が増えるたびに実行される機会も増えます。

CVSS v4は9.4です。機密性・完全性・可用性への影響がいずれも高いと評価されています。

攻撃の流れ

1

低権限で入る

TimePictraにログインできる低い権限のアカウントが出発点になります。
2

スクリプト保存

画面の入力内容として、悪意あるスクリプトがサーバーに保存されます。
3

別の人が閲覧

ほかの利用者が、その内容を表示するページを開きます。
4

ブラウザーで実行

閲覧した利用者のブラウザー上でスクリプトが動き、その利用者の権限で操作されるおそれがあります。

公開されている情報をもとにした流れの例です。

どう悪用されるか

悪用するには、TimePictraにログインできるアカウントが要ります。権限は低くて足ります。ネットワーク経由で試せる点は、深刻度の評価に反映されています。

保存された内容は、ほかの利用者が該当のページを表示したときに実行されます。つまり、攻撃者が自分で仕込むだけでなく、誰かが画面を開く場面が必要です。

実行されると、閲覧した利用者の権限でブラウザー上の操作ができてしまいます。閲覧したのが管理者なら、被害は管理者の権限の範囲に及びます。CVSS上も、TimePictraの機密性・完全性・可用性への影響と、連携する他システムへの影響がいずれも高く評価されています。

今すぐやること

1

稼働している版を確認する

TimePictraの版を確認し、12.0より前の環境をすべて洗い出します。検証用や予備の環境も含めてください。
2

12.0に更新する

修正版の12.0へ更新します。更新手順や事前の注意点は、Microchipの告知で確認してください。
3

低権限アカウントを見直す

使われていないアカウントや、退職・契約終了した人のアカウントを無効にします。更新までの間も、悪用の入口を減らせます。
4

登録済みの内容を点検する

更新前から仕込まれている可能性を考え、画面に登録された文字列に見慣れない内容がないか、ログと合わせて確認します。管理者権限での操作に身に覚えのないものがあれば、あわせて調べます。

すぐ更新できないとき

修正版を当てるまでの間は、TimePictraの管理画面へ接続できる範囲を運用用のネットワークに絞り、不要な低権限アカウントを止めてください。これで悪用の機会は減りますが、脆弱性そのものは消えません。更新は計画どおり進めます。

背景

TimePictraは、Microchipの時刻同期装置を、画面から集中して管理・監視するためのソフトウェアです。時刻のずれはログの突き合わせや認証、機器間の連携に響くため、管理側の画面に複数の担当者がログインして使う運用が一般的です。

蓄積型のクロスサイトスクリプティングは、こうした管理画面で特に厄介です。仕込む側は低い権限で足りる一方、その画面を開くのは権限の高い管理者であることが多いからです。入口の権限と、実行されたときの影響の大きさが釣り合わない点が、評価を押し上げているとみられます。

よくある質問

Q.利用者のブラウザーを最新にすれば防げますか。

A.防げません。脆弱性はTimePictra側にあり、保存された内容の扱いが原因です。ブラウザーの更新だけでは解消しないため、TimePictraを12.0へ更新してください。

この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。

影響パッケージ

種類	パッケージ	影響を受ける版 → 修正版	修正版
Microchip	MicrochipTimePictra	12.0 未満→ 12.0	12.0

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

A vulnerability in Microchip TimePictra.

This issue affects TimePictra: before 12.0.

出典: CVE.org (CVE Program・cvelistV5) NVD

参照URL

web microchip.com
web gruppotim.it