Herowatch Mini（About Time Technologies）で認証なしの ADB シェルを取得されるおそれ（CVE-2026-121816）: 同一ネットワークから、CVSS v3.1 8.8、悪用の有無は未確認

About Time Technologies の Herowatch Mini について、認証の欠落（CWE-306）の問題として、CVE-2026-121816 が 2026-11-04 に NVD に登録されました。登録元は台湾の TWCERT/CC です。

何が起きるか

• NVD の記載によると、Herowatch Mini の ADB サービス（Android Debug Bridge）に認証がありません。そのため、認証なしの攻撃者が接続して ADB シェルを取得できるおそれがあります。
• シェルが取れると、端末の資源や関連する操作にアクセスされる可能性があります。具体的に何ができるかは NVD の記載だけでは分からず、未確認です。
• 攻撃元区分は「隣接ネットワーク（AV:A）」です。インターネットから直接ではなく、同じネットワークなど近い位置にいる攻撃者が前提です。

数値と severity

• CVSS v3.1 は 8.8（HIGH）で、ベクターは AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H です。CVSS v4.0 は 8.7 です（いずれも評価元は TWCERT/CC）。
• 認証は不要ですが、隣接ネットワークが前提で CVSS 9 未満のため、critical にはせず severity は high とします。
• NVD の状態は「Received」で、NVD 自身の評価はまだありません。FIRST の EPSS はデータなし、CISA の KEV には載っていません（2026-11-04 時点）。

対策

• 修正版や回避策は、NVD の記載からは確認できていません（未確認）。TWCERT/CC の勧告（参照先）と開発元の案内を確認してください。
• 当面の備えとして、この端末を信頼できないネットワークに接続しない、端末を分離したネットワークに置く、ADB（通常はポート 5555）への接続を遮断する、といった対応が考えられます。

未確認の点

• 修正版の有無と入手方法。
• 影響を受ける版の範囲、端末でシェルを取った後にできること。
• 悪用の有無、攻撃コードの流通。
• 同日に登録された同社製品の別の CVE（CVE-2026-121817 など）との関係。
• NVD の最終評価と EPSS。

出典

• NVD: CVE-2026-121816
• TWCERT/CC の勧告（NVD の参照先。未開封）
• FIRST EPSS（データなし）、CISA KEV（掲載なし）