エクシングCPTrans-ME-X に複数の脆弱性

　独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は9月4日、エクシングCPTrans-ME-Xにおける複数の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。株式会社ゼロゼロワンの佐藤勝彦（goroh_kun）氏が報告を行っている。影響を受けるシステムは以下の通り。

エクシング CPTrans-ME-X ファームウェア Ver 1.8.1.17より前のバージョン

　株式会社エクシングが提供するCPTrans-ME-Xには、下記の影響を受ける可能性がある複数の脆弱性が存在する。

・OSコマンドインジェクション（CVE-2026-62928）
→認証なしにOSコマンドインジェクションが行われる

・認可されていない相手への機微なシステム情報の漏えい（CVE-2026-66840）
→認証なしにシステムに関する情報が取得される

・デフォルトパスワードの使用（CVE-2026-69657）
→当該認証情報を知っている第三者にログインされる

・ハードコードされたパスワードの使用（CVE-2026-70403）
→当該認証情報を知っている第三者にログインされる

　開発者は、本件への対応として下記のような更新を適用したファームウェアアップデートを提供している。

・初期設定において管理ポートは無効
・当該機器にログインした際に使用できるコマンドは管理作業に必要な最低限のもののみに制限

　また開発者は、2026年4月にFOTA（Firmware Over-The-Air）による該当製品へのアップデートを実施している。