富士電機製UPS管理ソフト「Pupsman」のインストーラに複数の脆弱性、SYSTEM権限で任意コード実行の恐れ

富士電機製Pupsmanのインストーラにおける複数の脆弱性

元記事は一次情報へのリンクです元記事を読む

5行でつかむ要点

JPCERT/CCとIPAは2026年7月8日、富士電機製UPS管理ソフトウェア「Pupsman」のインストーラに複数の脆弱性があるとJVNで公表した。

細工したDLLを同じフォルダに置いてインストーラを実行させる『DLLサイドローディング』(CVE-2026-56437)により、SYSTEM権限で任意コードを実行できる。

インストール先フォルダのアクセス権設定不備(CVE-2026-57895)も併せて報告されており、こちらも同様にSYSTEM権限での任意コード実行につながる。

業務系ソフトを社内の共有フォルダから配布している現場ほど、DLLサイドローディングの経路が見落とされやすい。

攻撃には事前のファイル配置という条件が要るため脅威度は一様ではなく、自社の運用フローに当てはまるかはJVNの公表情報を個別に確かめたい。

JPCERT/CCとIPAは7月8日、富士電機製UPS管理ソフトウェア「Pupsman」のインストーラに複数の脆弱性があるとJVNで公表した。ひとつは細工したDLLを同じフォルダに置いてインストーラを実行させる「DLLサイドローディング」(CVE-2026-56437)、もうひとつはインストール先フォルダのアクセス権設定不備(CVE-2026-57895)で、いずれもSYSTEM権限での任意コード実行につながりうる。

攻撃条件とスコア

両脆弱性ともバージョン3.9.0より前のPupsmanが対象で、CVSS基本値はv4.0でそれぞれ8.4、8.5と高めだ。ただし攻撃には、インストーラの実行前に細工ファイルを同じフォルダやインストール先フォルダへあらかじめ配置しておく必要があり、インターネット越しに一方的に攻撃されるタイプの脆弱性ではない。発見者はGMOサイバーセキュリティ byイエラエの松本一輝氏で、責任ある開示のプロセスを経て公表されている。

DLLサイドローディングという手口

Windowsのプログラムは、特定のDLLファイルを読み込む際に正規の場所より先に同じフォルダ内のファイルを探しに行くことがある。この挙動を悪用し、攻撃者が用意した悪意あるDLLを正規のインストーラと同じフォルダに紛れ込ませておくことで、インストーラ実行時にそのDLLが代わりに読み込まれてしまう。業務系ソフトは社内の共有フォルダからインストールされることも多く、こうした経路は見落とされがちだ。

OT機器を狙う脅威としての位置づけ

UPS(無停電電源装置)はデータセンターや工場の電源を守る、いわば縁の下の力持ちだ。管理ソフトそのものは地味な存在だが、乗っ取られればその重要インフラの制御系統に手が届くことになる。今回のように「事前にファイルを配置する必要がある」タイプの脆弱性は、リモートから一撃で悪用されるものと比べれば緊急度はやや下がるものの、社内ネットワークに侵入した攻撃者が足場を広げる「横展開」の手段として悪用されやすい。産業用ソフトウェアを扱う現場では、Pupsman 3.9.0以降へのアップデートを含め、対応を先送りにしないことが望ましい。詳細はJVNの公表情報(https://jvn.jp/jp/JVN62347140/)で確認できる。