---
title: "カラオケの通信アダプターに緊急の脆弱性、CVSS9.8はどれほど危ういか。エクシングCPTrans-ME-Xの中身を確認する"
description: "JVNが2026年9月4日公表、エクシングの通信カラオケ用LTEアダプター「CPTrans-ME-X」に、認証不要のOSコマンド注入を含む4件の脆弱性。対象バージョンと対策の考え方を確認した"
url: https://itpostjp.com/security/xing-cptrans-me-x-critical-vulnerabilities-jvn/
category: "セキュリティ"
published_at: 2026-09-13T22:25:00Z
updated_at: 2026-09-13T22:25:00Z
author: "IT Post編集部"
editor: "編集長 千田智也"
publisher: "IT Post by Rice Studio Lab"
language: ja-JP
ai_generated: true
ai_model: claude-sonnet-5
terms: ["ファームウェア", "脆弱性"]
---

# カラオケの通信アダプターに緊急の脆弱性、CVSS9.8はどれほど危ういか。エクシングCPTrans-ME-Xの中身を確認する

IT Post編集部 ＆ 編集長 千田智也

JVNが2026年9月4日公表、エクシングの通信カラオケ用LTEアダプター「CPTrans-ME-X」に、認証不要のOSコマンド注入を含む4件の脆弱性。対象バージョンと対策の考え方を確認した

## 30秒で分かる結論

- IPAとJPCERT/CCは2026年9月4日、通信カラオケ用LTEアダプター「CPTrans-ME-X」(エクシング)に複数の脆弱性があるとJVNで公表しました(JVN#32505330)。
- 最も深刻なのは認証不要でOSコマンドを実行できてしまう脆弱性(CVE-2026-62928)で、デフォルトパスワードやハードコードされたパスワードの問題も含めて計4件が確認されています。
- 対象はファームウェアVer 1.8.1.17より前のCPTrans-ME-Xです。導入している事業者は、ファームウェアの更新と初期パスワードの変更状況を確認してください。

## まず初めに

*カラオケの機械にまで、緊急(CRITICAL)の脆弱性が刺さる時代になった。*歌を歌うためだけの機械だと思っていたら、裏では立派なネットワーク機器として、しかも認証なしで乗っ取れる穴を抱えていたというのだから、油断も隙もない。目に見える「歌う機能」の裏で動いている「通信する機能」まで、誰も気にしていなかったツケが回ってきた格好だ。※個人の感想です

## 何が起きているのか

IPA(情報処理推進機構)とJPCERT/CCは2026年9月4日、脆弱性対策情報ポータル「Japan Vulnerability Notes(JVN)」で、株式会社エクシングが提供する通信アダプター「CPTrans-ME-X」に複数の脆弱性が存在すると公表しました(JVN#32505330)。CPTrans-ME-Xは、光回線の工事を行わずにKDDIのLTE回線を使って、業務用通信カラオケ「JOYSOUND」の機器をネットワークに接続するための専用アダプターです。飲食店やカラオケボックスなど、店舗のカラオケ機器で使われています。

公表された脆弱性は4件です。もっとも深刻なのは、認証を経ずに任意のOSコマンドを実行できてしまうOSコマンドインジェクション(CVE-2026-62928)で、加えて認証なしにシステム情報を取得できてしまう脆弱性(CVE-2026-66840)、初期設定のまま変更されていないと第三者がログインできてしまう「デフォルトパスワードの使用」(CVE-2026-69657)、ソフトウェア内に固定のパスワードが埋め込まれている「ハードコードされたパスワードの使用」(CVE-2026-70403)が確認されています。対象となるのは、ファームウェアのバージョンが1.8.1.17より前のCPTrans-ME-Xです。脆弱性を発見・報告したのは、Zero Zero One所属のSatoshi Sato(goroh_kun)氏です。

## なぜ重要なのか

今回の脆弱性のうち、OSコマンドインジェクション(CVE-2026-62928)は、攻撃者が認証を経ずにネットワーク越しに機器を乗っ取れる可能性がある、極めて深刻な種類の欠陥です。加えて、デフォルトパスワードやハードコードされたパスワードの問題は、初期設定を変更せずに使い続けている機器があれば、パスワードを知っている、あるいは推測できる第三者が容易にログインできてしまうことを意味します。

CPTrans-ME-Xのような業務用の通信アダプターは、家庭用ルーターほど注目されることが少なく、導入後は「動いていれば問題ない」という扱いをされがちな機器です。しかし、インターネットに接続されている以上、ファームウェアの更新が行われないまま長期間使われ続ければ、外部からの攻撃の足がかりにされるリスクは家庭用機器と変わりません。今回の一件は、目立たない業務用IoT機器にも深刻な脆弱性が潜みうるという例だといえます。

## 私たちへの影響

CPTrans-ME-Xを直接使うのは、主にカラオケ機器を導入している飲食店・カラオケボックスなどの事業者です。一般の消費者が直接この機器を操作する機会はありませんが、こうした店舗のネットワークが乗っ取られれば、同じ店内ネットワークにつながる他の機器(POSレジや会計システムなど)への攻撃の踏み台にされる可能性はゼロではありません。

事業者側は、対象機器のファームウェアがVer 1.8.1.17以降になっているかを確認し、なっていない場合は速やかに更新することが求められます。また、初期設定のパスワードを変更せずに使っている機器がないか、あわせて確認することも重要です。

## 初心者が知っておくべきこと

「OSコマンドインジェクション」とは、本来は決まった操作しか受け付けないはずの入力欄などに、外部から不正な命令(コマンド)を紛れ込ませることで、機器の内部で意図しない処理を実行させてしまう攻撃手法です。認証なしに悪用できる場合、インターネット越しに機器の管理者権限を乗っ取られる恐れがあり、深刻度を示す指標「CVSS」でも最高水準に近い評価がつくことが一般的です。

「デフォルトパスワード」「ハードコードされたパスワード」は、いずれも初期設定のまま、あるいは変更できない形で機器に組み込まれているパスワードを指します。取扱説明書やメーカーの公開資料に初期パスワードが記載されていることも多く、第三者がそれを調べて悪用するケースが後を絶ちません。業務用・家庭用を問わず、ネットワーク機器を導入したら、まず初期パスワードを変更する習慣が基本的な対策になります。

## IT Postの見方――「歌う機械」の裏側を、誰も見ていなかった問題

IT Postでは、今回のような目立たない業務用IoT機器の脆弱性こそ、見過ごされやすいぶん厄介だと考える。

*家庭用ルーターなら、多少なりとも「セキュリティ、大丈夫かな」と気にする人がいるかもしれない。だが、カラオケの通信アダプターとなると、そこまで気を回す店主がどれだけいるだろうか。*歌を届けるための機械のはずが、気づけば認証なしで乗っ取れるネットワーク機器として店の隅に鎮座していた、というのは笑い話にもならない。IT Postでは、こうした「主役ではない機器」ほど初期設定の変更やファームウェア更新が後回しにされがちな点にこそ、業界全体で目を向ける必要があると考える。※個人の感想です

## 今後どうなりそうか

エクシングは、対象機器のファームウェアをVer 1.8.1.17以降へ更新するよう案内しています。JVNの公表内容には、現時点で今回の脆弱性が実際に悪用された事例についての言及はありません。IT Postでは、対象事業者への影響や対応状況についての続報があれば、あらためて取り上げます。

## 情報源

- [JVN#32505330: エクシングCPTrans-ME-Xにおける複数の脆弱性](https://jvn.jp/jp/JVN32505330/) — JVN(IPA/JPCERT-CC)（一次情報）
- [エクシングCPTrans-ME-X に複数の脆弱性](https://scan.netsecurity.ne.jp/article/2026/09/07/56135.html) — ScanNetSecurity

## この記事に出てくるIT用語

- [ファームウェア](https://itpostjp.com/terms/firmware/): 家電やプリンター、ルーターなど機器本体に組み込まれた、その機器を動かすための基本的なソフトウェアのことです。
- [脆弱性](https://itpostjp.com/terms/vulnerability/): ソフトウェアやシステムに存在する、悪用されると情報の窃取や不正操作につながりかねない設計・実装上の欠陥のことです。

---

この記事は、公開情報と出典URLの検証、文章作成の一部に生成AIを使用しています。内容の責任はIT Post by Rice Studio Labが負います。

出典表記: IT Post by Rice Studio Lab — https://itpostjp.com/security/xing-cptrans-me-x-critical-vulnerabilities-jvn/