Netcore Power 15AX Diagnostic Tool netis.cgi setTools os コマンドインジェクション (OS Command Injection)

Netcore Power 15AX デバイスのバージョン 3.0.0.6938 までの脆弱性が発見されました。これは CVE-2026-4840 として知られています。この脆弱性は、診断ツールインターフェースの一部である '/bin/netis.cgi' ファイルの 'setTools' 関数に存在します。攻撃者は、'IpAddr' 引数を操作することで、オペレーティングシステムのコマンドを注入してこの脆弱性を悪用できます。この脆弱性の重大度は高く (CVSS 8.8)、その容易な悪用とデバイスへの不正アクセスにつながる可能性が高いためです。エクスプロイトの公開により、攻撃のリスクが大幅に高まっています。ベンダーはまだ公式な修正プログラムを提供していませんが、このリスクを軽減するための措置を講じることが重要です。

Organizations utilizing Netcore Power 15AX devices in industrial control systems, power management networks, or any environment where remote access is enabled are at significant risk. Specifically, deployments with weak network segmentation or lacking WAF protection are particularly vulnerable. Shared hosting environments where multiple customers share the same device also face increased exposure.

• linux / server:

journalctl -u netis -g "command injection"

• generic web:

curl -I http://<device_ip>/bin/netis.cgi?IpAddr="; whoami > /tmp/output.txt;"

• generic web:

grep -r "IpAddr=.*;" /var/log/apache2/access.log

1. 2026-03-26Disclosure

   disclosure

1. 予約済み2026-03-25
2. 公開日2026-03-26
3. 更新日2026-03-30
4. EPSS 更新日2026-04-02

ベンダーが CVE-2026-4840 のためのパッチ (修正) をリリースしていないため、軽減策のオプションは限られており、攻撃対象領域を削減することに重点を置く必要があります。Netcore Power 15AX デバイスを重要なシステムから分離するために、ネットワークセグメンテーションを強く推奨します。信頼できるソースからの '/bin/netis.cgi' へのアクセスのみを制限するための厳格なファイアウォールルールを実装することが不可欠です。コマンドインジェクションに関連する疑わしいパターンを監視することで、潜在的な攻撃を検出し、対応するのに役立ちます。可能であれば、利用可能なセキュリティパッチを備えたより安全なモデルで影響を受けるデバイスを置き換えることを検討してください。ベンダーの対応がないことは、これらの予防措置の重要性を強調しています。