米サイバーセキュリティ・インフラ安全保障庁（CISA）は10月27日（米国時間）、中国に本社を置くEufyのロボット掃除機「Omni C20」と「Omni X10 Pro」の脆弱性情報を更新した。9月24日の初版では、両機種とも「1.6.4以降」のファームウェアへ更新するよう案内していたが、更新版ではOmni C20を「1.4.6以降」、Omni X10 Proを「3.1.36」に改めた。Omni C20には欠陥が3件あり、最も深刻なものは深刻度を示すCVSSの基本値（v3.1）で10点満点の9.4。日本の脆弱性対策情報ポータル「JVN」も28日、この更新を案内した。
修正版の番号を訂正した更新版
CISAが公表したのは、産業制御システム（ICS）向けの注意喚起「ICS Advisory」の1件（ICSA-26-267-02）。改訂履歴によると、初版は9月24日、2版にあたる「Update A」は10月27日で、変更点は「影響を受けるバージョンと緩和策の節を更新した」とされている。
初版と更新版を並べると、変わったのは版の番号だ。初版は、影響を受ける版をOmni C20、Omni X10 Proとも「1.6.4未満」とし、対策として「1.6.4以降への更新」を挙げていた。更新版では、Omni C20は「1.4.6未満」が影響を受け、「1.4.6以降」へ更新するよう求める。Omni X10 Proは「3.1.36未満」が影響を受け、「3.1.36」への更新を求める。機種ごとに別の番号を示す形に改めた。欠陥の件数・内容と深刻度の値は、初版と更新版で同じだった。
両機種に共通するのは1件で、Omni C20にだけあるものが2件ある。初版の案内どおりに「1.6.4」という番号を探していた利用者にとっては、確かめる番号が変わったことになる。
| 機種 | 影響を受ける版 | 求められる更新 | 該当する欠陥 |
|---|---|---|---|
| Omni C20 | 1.4.6未満 | 1.4.6以降 | 3件（CVE-2026-93289、93290、93291） |
| Omni X10 Pro | 3.1.36未満 | 3.1.36 | 1件（CVE-2026-93289） |
中間者攻撃でプログラムを実行されるおそれ
最も深刻なのは、Omni C20が通信相手の証明書を正しく検証していない欠陥（CVE-2026-93291）だ。CISAによると、攻撃者が通信の間に割り込む「中間者攻撃」を行い、任意のコードを実行できる可能性がある。証明書は、通信の相手が本物のサーバーかどうかを確かめるための電子的な身分証にあたる。これを確かめないと、偽のサーバーが本物になりすまして機器とやり取りできてしまう。CVSSの基本値はv3.1で9.4、新しい算定方式のv4.0で9.3。ネットワーク経由で、認証を受けず、利用者の操作も介さずに攻撃できるという評価になっている。
両機種に共通する欠陥（CVE-2026-93289）は、OSコマンドインジェクションと呼ばれる種類のものだ。外部から送り込んだ文字列が、機器の内部でOSの命令として実行されてしまう。CISAは、掃除機をアプリなどと結び付ける「ペアリング」の手順の最中に、認証を受けていない攻撃者がシステムの命令を実行できる可能性があるとしている。CVSSの基本値はv3.1で7.5、v4.0で9.0。攻撃元は機器と同じネットワークや近くにいる者に限られ、攻撃の条件も複雑だという評価で、v3.1の値は証明書の欠陥より低い。
3件目は、Omni C20に認証情報が固定で書き込まれている欠陥（CVE-2026-93290）。CISAによると、攻撃者がログファイルを見て認証情報を得ることで、部屋の間取り図（マッピングデータ）などの情報にアクセスできる可能性がある。CVSSの基本値はv3.1で5.5、v4.0で6.8。攻撃者が機器の内部にアクセスでき、一定の権限を持っていることが前提という評価になっている。
悪用の報告はまだ無い
CISAは、これらの脆弱性を狙った悪用の報告は現時点で受けていないとしている。欠陥は、セキュリティ企業Somerset Reconの研究者がCISAに報告した。
CISAの対策の欄はメーカーの更新版を挙げたうえで、ICS Advisoryに共通する一般的な防御策を並べている。機器をインターネットから直接つながる状態に置かないこと、ファイアウォールの内側に置き業務用のネットワークと分けること、遠隔から接続する場合はVPNなどの安全な方法を使うこと、の3点だ。
ICS Advisoryは本来、工場や発電所、上下水道などの制御システムの欠陥を周知するための枠組みだ。今回の注意喚起は、対象分野を「情報技術」、利用地域を「世界中」としている。家庭向けの機器でも、ネットワークにつながり外部から操作できるものはこの枠組みで扱われることがある。
国内でも販売、アプリで更新を
両機種は日本でも販売されていた。アンカー・ジャパンの公式オンラインストアによると、「Eufy Robot Vacuum Omni C20」は2025年2月の発売で、すでに販売を終え、後継機は「Omni C28」になっている。同じストアには2024年2月発売の「Eufy X10 Pro Omni」も載っており、こちらも販売を終えている。CISAの注意喚起は日本で売られた型番を挙げていない。
販売を終えた機種でも、家庭で使われている台数は残る。2機種の製品ページはいずれも注意事項の欄で、初めて起動するときはアプリの画面の指示に従ってファームウェアを更新してから初期設定を終えるよう求め、その後も「常にバージョンのアップデートを確認し、ファームウェアの更新をこまめに行なってください」と案内している。手元の機器のファームウェアがCISAの示す番号に達しているかを確かめ、届いていなければ更新することになる。10月30日朝の時点で、2機種の製品ページに今回の脆弱性についての記載は見当たらなかった。
JVNは米国の注意喚起を日本語で案内
JPCERTコーディネーションセンター（JPCERT/CC）と情報処理推進機構（IPA）が運営するJVNは、CISAがICS Advisoryを出した日ごとに、その一覧を「JVNVU」の番号を付けて日本語で案内している。10月28日に公表したJVNVU#96093239は、CISAの10月27日分として、新規2件と更新1件を挙げた。更新の1件が今回のEufyの2機種で、新規は粒子加速器などの制御に使われるソフト「EPICS Base」と、三菱電機の監視・制御ソフト「GENESIS64」などの2件だった。
JVNは同じ28日、ヤマハの無線LANルーター「NWR100」に深刻な欠陥 深刻度9.8、VPNソフトなど計3製品も公表した。こちらも、外部から送り込んだ文字列をOSの命令として実行されるおそれのある欠陥だった。工場向けのソフトでは富士電機の操作盤画面ソフト「V-SFT」に欠陥7件 細工ファイルで任意コード実行のおそれもあった。