UgCS脆弱性CVE-2026-59104——認証バイパスの仕組みと今すぐ取るべき対応

CVE-2026-59104とは何か——UgCSの認証処理に根本的な欠陥

2026年11月6日、ドローン飛行計画・運用ソフトウェア「UgCS」（開発元：SPH Engineering）に深刻な認証バイパスの脆弱性が公開された。CVE番号はCVE-2026-59104、採番機関はENISA（欧州ネットワーク・情報セキュリティ機関）。CVSS 3.1スコアは9.8（Critical）、CVSS 4.0スコアは9.3（Critical）といずれも最上位クラスの評価を受けている（評価者：ENISA、出典：CVE公式記録 cve.org）。

対象はWindows・macOS・Linux向けUgCS 6.2未満。ベンダーはUgCS 6.2で本問題を修正しており、運用者はUgCS 6.2以降へのアップグレードを推奨されている。

脆弱性の種類はCWE-287（不適切な認証）。欠陥の核心は、UgCSサーバーのHCI（Human-Computer Interface）プロトコルにある。TCP 3334番ポートで公開されるログインハンドラ（LoginHandler）が、ユーザーデータベースに登録ユーザーが1名だけ存在する場合——これがデフォルトの単一オペレーター構成にあたる——において、ユーザー名とパスワードの両方が空欄のログインリクエストを「唯一のユーザーとして使用する意図」と解釈し、完全に認証済みのセッションを返してしまう。

問題の深刻度をさらに高める構造的な要因が二つある。UgCSはデフォルト状態でTLS（通信の暗号化）を使用せず、すべてのネットワークインターフェース（0.0.0.0）でリスニングする。

ほかの製品でも認証を回避される仕組みがどうなっているかは、Barracuda ESG脆弱性の認証バイパスで解説しています。

関連記事SonicOS脆弱性でMFAを回避される可能性は？

UgCS脆弱性CVE-2026-59104が企業にとって何を意味するか

この脆弱性が特に重大な理由は、攻撃の前提条件が極めて低いことにある。ネットワークからポート3334に到達できる未認証の攻撃者が、認証情報なしで認証済みセッションを取得できる構造になっている。

CISA KEV（既知の悪用脆弱性カタログ）への掲載は2026年11月7日時点で確認されていない。ベンダーの告知には実環境での悪用に関する記述はない。

影響バージョンの確認と主要情報の整理

表：CVE-2026-59104 主要情報まとめ（出典：cve.org・offseq.com）

項目	内容
CVE番号	CVE-2026-59104
公開日	2026年11月6日
対象製品・バージョン	UgCS（Windows / macOS / Linux）6.2未満
修正バージョン	UgCS 6.2
CVSS 3.1 スコア	9.8 Critical（評価者：ENISA）
CVSS 4.0 スコア	9.3 Critical（評価者：ENISA）
脆弱性の種類	CWE-287（不適切な認証）
CISA KEV掲載	なし（2026年11月7日時点）
発見・報告	OffSeq（セキュリティ研究機関）

影響を受けるのは、UgCS 6.2未満をインストールして稼働させているすべての環境である。OS種別（Windows・macOS・Linux）は問わない。UgCS 6.2以降にアップデート済みの環境は対象外となる。

今すぐ取るべき対応——UgCS 6.2への更新と暫定的な軽減策

SPH Engineeringの公式告知およびOffSeqの研究報告（offseq.com）に基づき、現時点で取るべき行動は以下に整理される。

UgCS 6.2への更新。ベンダーはUgCS 6.2において本脆弱性を修正したと明示している。空の認証情報が有効なログインとして受け入れられないよう処理が修正されている。

即時更新が困難な場合の暫定措置。ベンダーが告知に示した軽減策は三つある。HCIリスナーのバインド先を全インターフェース（0.0.0.0）ではなく127.0.0.1に限定すること、ホストおよびネットワークのファイアウォールでTCP 3334番ポートへのアクセスを必要なホストのみに制限すること、認証付きTLS通信の背後に配置すること。これらはあくまでベンダー告知に基づく軽減策であり、根本修正ではない。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

参考文献

• OffSeq「CVE-2026-59104: UgCS server HCI authentication bypass with empty credentials」
  https://offseq.com/en/research/ugcs-cve-2026-59104/
• CVE Program「CVE-2026-59104」（cve.org）
  https://www.cve.org/CVERecord?id=CVE-2026-59104
• NVD「CVE-2026-59104」（nvd.nist.gov）
  https://nvd.nist.gov/vuln/detail/CVE-2026-59104