Schneider Electric PowerChute シリアルシャットダウンの脆弱性サマリー 脆弱性概要 Schneider Electric の PowerChute™ Serial Shutdown 製品には、複数のセキュリティ脆弱性が存在します。同製品は、デスクトップ、サーバー、ワークステーション向けの UPS（無停電電源装置）管理ソフトウェアであり、システムへの優雅なシャットダウン処理をサポートしています。適切な修正措置が施されていないため、攻撃者は入力の検証不備を利用し、オペレーションの中断やシステムデータの不正アクセスを行う可能性があります。 影響範囲 対象製品: PowerChute™ Serial Shutdown 対象バージョン: 1.4 以前 脆弱性情報 CVE-2026-2399 CVSS v3.1 ベーススコア: 6.1 (Medium) CVSS v4.0 ベーススコア: 6.2 (Medium) 脆弱性説明: CWE-22 制限されたディレクトリへのパス名の不適切な制限（パストラバーサル）の脆弱性が存在します。攻撃者は リクエストのペイロードを改変することにより、重要なファイルの上書きを引き起こすことができます。 CVE-2026-2404 CVSS v3.1 ベーススコア: 5.3 (Medium) CVSS v4.0 ベーススコア: 6.9 (Medium) 脆弱性説明: CWE-116 出力の不適切なエンコードまたはエスケープの脆弱性が存在します。攻撃者は リクエストのペイロードを改変することにより、ログインジェクションおよびログ記録を誘発させることができます。 CVE-2026-2402 CVSS v3.1 ベーススコア: 5.3 (Medium) CVSS v4.0 ベーススコア: 6.9 (Medium) 脆弱性説明: CWE-307 過剰な認証試行の不適切な制限の脆弱性が存在します。攻撃者は、異なる認証情報を複数使用して複数のエンドポイントに対して任意の数の認証試行を行うことで、アカウントへのアクセスを奪取する可能性があります。 修正策 推奨事項: 入力の検証不備に起因するセキュリティ問題を防ぐため、Schneider Electric が提供する修正措置を適用してください。 具体的な手順: PowerChute™ Serial Shutdown を最新バージョンに更新し、既知のすべての脆弱性が修正されていることを確認してください。