## ZKTeco製CCTVカメラに認証バイパス脆弱性が存在 **ZKTeco**製CCTVカメラに認証バイパス脆弱性が発見され、重大なセキュリティリスクにつながる可能性があります。この脆弱性（**CVE-2026-8598**）は、特定のモデルおよびファームウェアバージョンに影響を与え、攻撃者が適切な認証なしに機密情報にアクセスできるようになります。 [CSAFを表示](https://github.com/cisagov/CSAF/blob/develop/csaf_files/OT/white/2026/icsa-26-139-04.json) ### 影響 この脆弱性が悪用された場合、カメラのアカウント認証情報の取得を含む情報漏洩につながり、監視システムのセキュリティが侵害される可能性があります。 ### 影響を受ける製品 以下のバージョンの**ZKTeco**製CCTVカメラが影響を受けます。 * SSC335-GC2063-Face-0b77 Solution <table data-tablesaw-minimap="" data-tablesaw-mode="stack"> <thead> <tr> <th data-tablesaw-priority="persist" role="columnheader">CVSS</th> <th role="columnheader">ベンダー</th> <th role="columnheader">機器</th> <th role="columnheader">脆弱性</th> </tr> </thead> <tbody> <tr> <td>v3 9.1</td> <td>ZKTeco</td> <td>ZKTeco CCTV Cameras</td> <td>代替パスまたはチャネルを使用した認証バイパス</td> </tr> </tbody> </table> ### 背景 * **重要インフラストラクチャセクター:** 商用施設 * **展開されている国/地域:** 世界中 * **企業本社所在地:** 中国 --- ## 脆弱性の詳細 **ZKTeco**製CCTVカメラの一部のモデルでは、非公開の構成エクスポートポートが利用可能です。このポートは認証を必要とせず、開いているサービスやカメラのアカウント認証情報などのカメラに関する重要な情報を公開します。 [CVE詳細を表示](https://www.cve.org/CVERecord?id=CVE-2026-8598) --- ### 影響を受ける製品（詳細） **ベンダー:** ZKTeco **製品バージョン:** ZKTeco SSC335-GC2063-Face-0b77 Solution: <V5.0.1.2.20260421 **製品ステータス:** known_affected **関連CWE:** [CWE-288 代替パスまたはチャネルを使用した認証バイパス](https://cwe.mitre.org/data/definitions/288.html) --- ## 謝辞 * Souvik Kandar氏がこの脆弱性を**CISA**に報告しました。 --- ## 推奨される緩和策 **CISA**は、ユーザーに対し、この脆弱性の悪用リスクを最小限に抑えるための防御策を講じることを推奨しています。これには以下が含まれます。 * すべての制御システムデバイスおよび/またはシステムについて、インターネットからアクセスできないようにネットワーク露出を最小限に抑えること。 * 制御システムネットワークおよびリモートデバイスをファイアウォールの背後に配置し、ビジネスネットワークから隔離すること。 * リモートアクセスが必要な場合は、Virtual Private Network（**VPN**）などのより安全な方法を使用すること。ただし、**VPN**にも脆弱性が存在する可能性があり、利用可能な最新バージョンに更新する必要があることを認識すること。また、**VPN**は接続されているデバイスと同等のセキュリティであることを認識すること。 **CISA**は、組織に対し、防御策を展開する前に適切な影響分析とリスク評価を実施するよう再度通知しています。 **CISA**はまた、cisa.gov/icsのICSウェブページで、制御システムセキュリティの推奨プラクティスに関するセクションを提供しています。防御戦略による産業用制御システムセキュリティの改善など、サイバー防御のベストプラクティスを詳述したいくつかの**CISA**製品が、閲覧およびダウンロード可能です。 **CISA**は、組織に対し、ICS資産のプロアクティブな防御のために推奨されるサイバーセキュリティ戦略を実装することを奨励しています。 追加の緩和ガイダンスおよび推奨プラクティスは、cisa.gov/icsのICSウェブページにある技術情報ペーパー、ICS-TIP-12-146-01B--Targeted Cyber Intrusion Detection and Mitigation Strategiesで公開されています。 疑わしい悪意のあるアクティビティを観測した組織は、確立された内部手順に従い、他のインシデントとの追跡および相関のために**CISA**に調査結果を報告する必要があります。 現時点で、この脆弱性を特に標的とした既知の公開エクスプロイトは**CISA**に報告されていません。 --- ## 改訂履歴 * **初回公開日:** 2026-05-19 <table data-tablesaw-minimap="" data-tablesaw-mode="stack"> <thead> <tr> <th data-tablesaw-priority="persist" role="columnheader">日付</th> <th role="columnheader">改訂</th> <th role="columnheader">概要</th> </tr> </thead> <tbody> <tr> <td>2026-05-19</td> <td>1</td> <td>初回公開</td> </tr> </tbody> </table> ---