Siemens RUGGEDCOM ROX IIに重大な連鎖的ゼロデイ脆弱性：CVE-2025-40948、CVE-2025-40947、CVE-2025-40949

Palo Alto NetworksのUnit 42研究チームがSiemensと連携し、同社の産業用OT（オペレーショナルテクノロジー）スイッチ「RUGGEDCOM ROX II」シリーズにおいて、連鎖的に悪用可能な3つのゼロデイ脆弱性（CVE-2025-40948、CVE-2025-40947、CVE-2025-40949）を開示しました。これらを悪用されると、攻撃者は完全な権限昇格とデバイスへの永続的なルートアクセスを獲得できます。

連鎖する3つの脆弱性の詳細

この脆弱性チェーンは以下の順序で機能します：

• CVE-2025-40948（CVSS 6.8、重要度：Medium） — xzユーティリティの安全でない設定により、ルート権限で任意のファイルを読み取られます。攻撃者はスイッチのファイルシステム上の設定ファイル、パスワードハッシュ、秘密暗号鍵などを取得可能。
• CVE-2025-40947（CVSS 7.5、重要度：High） — フィーチャーキー検証機能におけるコマンドインジェクションの脆弱性。ユーザーが入力したペイロードが適切にサニタイズされず、そのままルート権限で実行されるコマンドに挿入されるため、攻撃者は完全なルートアクセスを獲得できます。
• CVE-2025-40949（CVSS 9.1、重要度：Critical） — Web管理タスクスケジューラにおける入力サニタイズ不備により、永続的なルートコード実行が可能。一度悪用されると、攻撃者はデバイス上で長期にわたるrootレベルの永続性を維持できます。

影響を受けるデバイスとファームウェアバージョン

RUGGEDCOM ROX IIファミリーのファームウェアV2.17.1未満の全機種が影響を受けます。具体的な対象モデルは以下の11機種です：

• RUGGEDCOM ROX MX5000
• RUGGEDCOM ROX MX5000RE
• RUGGEDCOM ROX RX1400
• RUGGEDCOM ROX RX1500
• RUGGEDCOM ROX RX1501
• RUGGEDCOM ROX RX1510
• RUGGEDCOM ROX RX1511
• RUGGEDCOM ROX RX1512
• RUGGEDCOM ROX RX1524
• RUGGEDCOM ROX RX1536
• RUGGEDCOM ROX RX5000

これらの全機種が、V2.17.1未満の全バージョンにおいて3つのCVEすべての影響を受けることが確認されています。

修正プログラム

Siemensは2026年5月12日付のセキュリティアドバイザリSSA-577017を通じて、RUGGEDCOM ROX IIファミリー全体向けにファームウェアV2.17.1をリリースしました。対応としてはV2.17.1以降にアップデートすることが唯一かつ完全な対策です。アップデートはSiemens Industry Online Supportから入手可能です。

米国CISA（サイバーセキュリティ・インフラストラクチャセキュリティ庁）も2026年5月14日に勧告を発表し、運用者に速やかなファームウェアアップデートを促しています。関連するRUGGEDCOM APE1808デバイスについては、Siemensはカスタマーサポートへ連絡しパッチ情報を受け取るよう案内しています。

重要インフラセキュリティへの広範な影響

• OTネットワークのバックボーン露出：RUGGEDCOM ROXスイッチは変電所、パイプライン制御システム、産業ネットワークの中核に位置しています。ルート権限での完全な妥協は、攻撃者による産業プロセスの広範な混乱、操作、監視を可能にします。
• 連鎖的悪用によるスキル障壁の低下：単一のクリティカルな脆弱性ではなく、ファイル読み取りから永続的なルートアクセスへと段階的にエスカレートする3段階のチェーンは、OTを標的としたキャンペーンで増加傾向にある攻撃パターンです。
• 広範な導入ベース：本脆弱性はエネルギー、製造、水道、運輸セクターに世界中で展開されている11のデバイスモデルに及びます。これらの多くはパッチサイクルが長く、ネットワークセグメンテーションが限られた環境で運用されています。
• NIS2規制下の運用者へのパッチ負担加速：この開示はより広範なトレンドの一部です。2025年8月から12月の間にだけでも、Siemensは6件のクリティカルなOTアドバイザリを発行しています。脆弱性の累積的な増加は、可用性を維持しながら深く組み込まれたネットワーク機器にパッチを適用しなければならない資産所有者に大きな負担を強いています。
• サードパーティ依存リスク：今回の3件のゼロデイに加え、SiemensのアドバイザリSSA-577017には数十件のサードパーティ製ソフトウェアの脆弱性（U-Bootブートローダーの欠陥を含む）もまとめて修正されており、OTデバイスのセキュリティにサプライチェーンのソフトウェア構成が及ぼす影響を浮き彫りにしています。

なお、本稿執筆時点（2026年7月18日）までに、これらの脆弱性が実際に悪用されたという報告は公開されていません。しかしUnit 42は、管理インターフェースにネットワークアクセスできる攻撃者であれば、このチェーンをリモートで悪用可能であると強調しています。