Herowatch Mini（About Time Technologies）で公開テスト鍵による署名不備、ローカルの認証済み攻撃者が権限昇格しコード実行のおそれ（CVE-2026-121818）: CVSS v3.1 7.8、悪用の有無は未確認

About Time Technologies の Herowatch Mini について、システム署名の不備（CWE-1394）として、CVE-2026-121818 が 2026-11-04 に NVD に登録されました。登録元は台湾の TWCERT/CC です。

何が起きるか

• NVD の記載によると、公開されているテスト用の署名鍵を使って不正なプログラムに署名できてしまい、署名の検証をすり抜けられます。
• 端末上でログインできるローカルの攻撃者が、これを使って権限を引き上げ、任意のコードを実行できるおそれがあります。
• 攻撃元区分はローカル（AV:L）で、低い権限（PR:L）が前提です。遠隔から認証なしで悪用できるものではありません。

影響を受ける版

• NVD の記載では、影響を受ける製品の欄は「Herowatch Go」で、版は「all（すべて）」とされています。一方、説明文は「Herowatch Mini」としており、食い違いがあります。どちらの製品が対象か、あるいは両方か、現時点では未確認です。
• 修正版や回避策は NVD の記載からは確認できていません（未確認）。

数値と severity

• CVSS v3.1 は 7.8（HIGH）で、ベクターは AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H です。CVSS v4.0 は 8.5 です（いずれも評価元は TWCERT/CC）。
• 認証不要ではなくローカルで、CVSS 9 未満のため、severity は high とします。
• NVD の状態は「Received」で、NVD 自身の評価はまだありません。FIRST の EPSS はデータなし、CISA の KEV には載っていません（2026-11-04 時点）。
• 同日に同じ開発元の CVE-2026-121816（ADB の認証欠落）と CVE-2026-121817（Go Server の対象外データへのアクセス）も登録されていますが、本件とは別の脆弱性で、関係は未確認です。

対策

• TWCERT/CC の勧告（参照先）と開発元の案内で、修正版の有無と対象製品を確認してください。
• 当面は、端末にログインできる人を信頼できる利用者に限り、出所の分からないプログラムを端末にインストールしない、実行しないでください。

未確認の点

• 対象製品（Herowatch Mini か Herowatch Go か）と、修正を含む版。
• 実際の悪用の有無、攻撃コードの流通。
• TWCERT/CC 勧告の詳しい内容（未開封）。
• NVD の最終評価と EPSS。

出典

• NVD: CVE-2026-121818
• TWCERT/CC 勧告（NVD の参照先。未開封）
• FIRST EPSS（データなし）、CISA KEV（掲載なし）