概要
CVE-2026-25070は、XikeStor SKS8310-8X ネットワークスイッチのファームウェアバージョン1.04.B07およびそれ以前に存在する、OSコマンドインジェクションの脆弱性です。この脆弱性は、/goform/PingTestSetエンドポイントにおいて、認証されていないリモート攻撃者がdestIpパラメータを介して悪意のあるコマンドを注入することで、ネットワークスイッチ上で任意のOSコマンドをroot権限で実行できると報告されています。本脆弱性の深刻度は「CRITICAL」（緊急）と評価されています。
影響範囲
- 製品名: XikeStor SKS8310-8X ネットワークスイッチ
- 対象ファームウェアバージョン: 1.04.B07 およびそれ以前
想定される影響
- 認証されていないリモート攻撃者による、ネットワークスイッチ上での任意のOSコマンド実行。
- 攻撃者によるネットワークスイッチのroot権限奪取の可能性。
- これにより、ネットワークインフラの制御、設定変更、不正な通信傍受、サービス停止、他のシステムへの攻撃の踏み台とされるなどの重大な被害が発生する恐れがあります。
攻撃成立条件・悪用状況
成立条件
認証されていないリモートからのアクセスが可能であること。特定のWebエンドポイント（/goform/PingTestSet）へのリクエストに、細工されたdestIpパラメータを含めることで、脆弱性が悪用される可能性があります。
悪用状況
現時点での具体的な悪用状況については、この情報からは不明です。しかし、公開された情報であるため、今後悪用されるリスクが高まる可能性があります。
推奨対策
今すぐできる対策（優先度：高）
- ファームウェアのアップデート: ベンダーから提供される最新のファームウェアバージョンに速やかにアップデートしてください。この脆弱性が修正されたバージョンがリリースされているか、XikeStorの公式サイトで確認が必要です。
中長期的な対策
- ネットワークセグメンテーション: ネットワークスイッチへの管理アクセスを厳格に制限し、信頼できるネットワークセグメントからのみアクセスできるように設定してください。
- アクセス制御の強化: 管理インターフェースへのアクセスには、強力な認証（多要素認証など）を導入し、不要なポートやサービスを無効にしてください。
- 監視の強化: ネットワークスイッチのログを定期的に監視し、異常なアクセスやコマンド実行の兆候がないか確認してください。
一時的な緩和策
- 管理インターフェースのアクセス制限: ネットワークスイッチの管理インターフェースへのアクセスを、信頼できるIPアドレスからのアクセスのみに制限するファイアウォールルールを設定してください。
- Web管理機能の一時的な無効化: 運用上許容される場合、一時的にWeb管理インターフェースを無効化することも検討できます。ただし、これにより管理作業に支障が出る可能性があります。
確認方法
- ご使用のXikeStor SKS8310-8X ネットワークスイッチのファームウェアバージョンを確認してください。バージョンが1.04.B07以前である場合、本脆弱性の影響を受ける可能性があります。
- ベンダーの提供するセキュリティアドバイザリやパッチ情報を確認し、脆弱性修正の有無を確認してください。
参考情報
- CVE-2026-25070 詳細情報: https://cvefeed.io/vuln/detail/CVE-2026-25070
- XikeStor 公式サイト (ファームウェア情報など): ベンダーの公式サイトをご確認ください。