カラオケの通信アダプターに緊急の脆弱性、CVSS9.8はどれほど危ういか。エクシングCPTrans-ME-Xの中身を確認する

まず初めに

*カラオケの機械にまで、緊急(CRITICAL)の脆弱性が刺さる時代になった。*歌を歌うためだけの機械だと思っていたら、裏では立派なネットワーク機器として、しかも認証なしで乗っ取れる穴を抱えていたというのだから、油断も隙もない。目に見える「歌う機能」の裏で動いている「通信する機能」まで、誰も気にしていなかったツケが回ってきた格好だ。※個人の感想です

何が起きているのか

IPA(情報処理推進機構)とJPCERT/CCは2026年9月4日、脆弱性対策情報ポータル「Japan Vulnerability Notes(JVN)」で、株式会社エクシングが提供する通信アダプター「CPTrans-ME-X」に複数の脆弱性が存在すると公表しました(JVN#32505330)。CPTrans-ME-Xは、光回線の工事を行わずにKDDIのLTE回線を使って、業務用通信カラオケ「JOYSOUND」の機器をネットワークに接続するための専用アダプターです。飲食店やカラオケボックスなど、店舗のカラオケ機器で使われています。

公表された脆弱性は4件です。もっとも深刻なのは、認証を経ずに任意のOSコマンドを実行できてしまうOSコマンドインジェクションおーえすこまんどいんじぇくしょん(CVE-2026-62928)で、加えて認証なしにシステム情報を取得できてしまう脆弱性(CVE-2026-66840)、初期設定のまま変更されていないと第三者がログインできてしまう「デフォルトパスワードの使用」(CVE-2026-69657)、ソフトウェア内に固定のパスワードが埋め込まれている「ハードコードされたパスワードの使用」(CVE-2026-70403)が確認されています。対象となるのは、ファームウェアのバージョンが1.8.1.17より前のCPTrans-ME-Xです。脆弱性を発見・報告したのは、Zero Zero One所属のSatoshi Sato(goroh_kun)氏です。

なぜ重要なのか

今回の脆弱性のうち、OSコマンドインジェクション(CVE-2026-62928)は、攻撃者が認証を経ずにネットワーク越しに機器を乗っ取れる可能性がある、極めて深刻な種類の欠陥です。加えて、デフォルトパスワードやハードコードされたパスワードの問題は、初期設定を変更せずに使い続けている機器があれば、パスワードを知っている、あるいは推測できる第三者が容易にログインできてしまうことを意味します。

CPTrans-ME-Xのような業務用の通信アダプターは、家庭用ルーターほど注目されることが少なく、導入後は「動いていれば問題ない」という扱いをされがちな機器です。しかし、インターネットに接続されている以上、ファームウェアの更新が行われないまま長期間使われ続ければ、外部からの攻撃の足がかりにされるリスクは家庭用機器と変わりません。今回の一件は、目立たない業務用IoT機器にも深刻な脆弱性が潜みうるという例だといえます。

私たちへの影響

CPTrans-ME-Xを直接使うのは、主にカラオケ機器を導入している飲食店・カラオケボックスなどの事業者です。一般の消費者が直接この機器を操作する機会はありませんが、こうした店舗のネットワークが乗っ取られれば、同じ店内ネットワークにつながる他の機器(POSレジや会計システムなど)への攻撃の踏み台にされる可能性はゼロではありません。

事業者側は、対象機器のファームウェアがVer 1.8.1.17以降になっているかを確認し、なっていない場合は速やかに更新することが求められます。また、初期設定のパスワードを変更せずに使っている機器がないか、あわせて確認することも重要です。

初心者が知っておくべきこと

「OSコマンドインジェクション」とは、本来は決まった操作しか受け付けないはずの入力欄などに、外部から不正な命令(コマンド)を紛れ込ませることで、機器の内部で意図しない処理を実行させてしまう攻撃手法です。認証なしに悪用できる場合、インターネット越しに機器の管理者権限を乗っ取られる恐れがあり、深刻度を示す指標「CVSS」でも最高水準に近い評価がつくことが一般的です。

「デフォルトパスワード」「ハードコードされたパスワード」は、いずれも初期設定のまま、あるいは変更できない形で機器に組み込まれているパスワードを指します。取扱説明書やメーカーの公開資料に初期パスワードが記載されていることも多く、第三者がそれを調べて悪用するケースが後を絶ちません。業務用・家庭用を問わず、ネットワーク機器を導入したら、まず初期パスワードを変更する習慣が基本的な対策になります。

IT Postの見方――「歌う機械」の裏側を、誰も見ていなかった問題

IT Postでは、今回のような目立たない業務用IoT機器の脆弱性こそ、見過ごされやすいぶん厄介だと考える。

*家庭用ルーターなら、多少なりとも「セキュリティ、大丈夫かな」と気にする人がいるかもしれない。だが、カラオケの通信アダプターとなると、そこまで気を回す店主がどれだけいるだろうか。*歌を届けるための機械のはずが、気づけば認証なしで乗っ取れるネットワーク機器として店の隅に鎮座していた、というのは笑い話にもならない。IT Postでは、こうした「主役ではない機器」ほど初期設定の変更やファームウェア更新が後回しにされがちな点にこそ、業界全体で目を向ける必要があると考える。※個人の感想です

今後どうなりそうか

エクシングは、対象機器のファームウェアをVer 1.8.1.17以降へ更新するよう案内しています。JVNの公表内容には、現時点で今回の脆弱性が実際に悪用された事例についての言及はありません。IT Postでは、対象事業者への影響や対応状況についての続報があれば、あらためて取り上げます。