--- title: "Herowatch Mini（About Time Technologies）で認証なしの ADB シェルを取得されるおそれ（CVE-2026-121816）: 同一ネットワークから、CVSS v3.1 8.8、悪用の有無は未確認" url: https://n-t-p.io/worldsecurity/articles/herowatch-mini-cve-2026-121816-adb-missing-authentication lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月7日 updated: 2026年11月7日 severity: 高 cve: CVE-2026-121816 --- # Herowatch Mini（About Time Technologies）で認証なしの ADB シェルを取得されるおそれ（CVE-2026-121816）: 同一ネットワークから、CVSS v3.1 8.8、悪用の有無は未確認 > **TL;DR:** About Time Technologies の Herowatch Mini で、ADB サービスに認証がなく、同じネットワーク上の攻撃者が認証なしで ADB シェルを取得できるおそれ（CVE-2026-121816、CWE-306、CVSS v3.1 8.8）。修正版は未確認、悪用の有無も未確認。KEV 未掲載、EPSS データなし。 **要点** - Herowatch Mini の ADB サービスに認証がなく、認証なしでシェルを取得されるおそれ（CVE-2026-121816）。 - CVSS v3.1 は 8.8。攻撃元は隣接ネットワークで、認証は不要。NVD の状態は Received。 - 修正版は未確認。信頼できないネットワークに接続せず、ADB への接続を遮断する。 - 悪用の有無は未確認。KEV には載っておらず、EPSS はデータなし。 About Time Technologies の Herowatch Mini について、認証の欠落（CWE-306）の問題として、CVE-2026-121816 が 2026-11-04 に NVD に登録されました。登録元は台湾の TWCERT/CC です。 ## 何が起きるか - NVD の記載によると、Herowatch Mini の ADB サービス（Android Debug Bridge）に認証がありません。そのため、認証なしの攻撃者が接続して ADB シェルを取得できるおそれがあります。 - シェルが取れると、端末の資源や関連する操作にアクセスされる可能性があります。具体的に何ができるかは NVD の記載だけでは分からず、未確認です。 - 攻撃元区分は「隣接ネットワーク（AV:A）」です。インターネットから直接ではなく、同じネットワークなど近い位置にいる攻撃者が前提です。 ## 数値と severity - CVSS v3.1 は 8.8（HIGH）で、ベクターは AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H です。CVSS v4.0 は 8.7 です（いずれも評価元は TWCERT/CC）。 - 認証は不要ですが、隣接ネットワークが前提で CVSS 9 未満のため、critical にはせず severity は high とします。 - NVD の状態は「Received」で、NVD 自身の評価はまだありません。FIRST の EPSS はデータなし、CISA の KEV には載っていません（2026-11-04 時点）。 ## 対策 - 修正版や回避策は、NVD の記載からは確認できていません（未確認）。TWCERT/CC の勧告（参照先）と開発元の案内を確認してください。 - 当面の備えとして、この端末を信頼できないネットワークに接続しない、端末を分離したネットワークに置く、ADB（通常はポート 5555）への接続を遮断する、といった対応が考えられます。 ## 未確認の点 - 修正版の有無と入手方法。 - 影響を受ける版の範囲、端末でシェルを取った後にできること。 - 悪用の有無、攻撃コードの流通。 - 同日に登録された同社製品の別の CVE（CVE-2026-121817 など）との関係。 - NVD の最終評価と EPSS。 ## 出典 - NVD: CVE-2026-121816 - TWCERT/CC の勧告（NVD の参照先。未開封） - FIRST EPSS（データなし）、CISA KEV（掲載なし） ## 出典 - [NVD CVE-2026-121816](https://nvd.nist.gov/vuln/detail/CVE-2026-121816) — NIST NVD - [TWCERT/CC 勧告（未開封）](https://www.twcert.org.tw/en/cp-139-11356-8292a-2.html) — TWCERT/CC --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/herowatch-mini-cve-2026-121816-adb-missing-authentication