node-opcua 2.42.0 以降 2.180.0 未満で名前空間の既定アクセス制御が効かない（CVE-2026-95860）: CVSS v3.1 9.1、認証不要で書き込み・メソッド呼び出しの恐れ、修正版 2.180.0

TypeScript・Node.js 向けの OPC UA 実装「node-opcua」で、名前空間ごとの既定のアクセス制御が実際には守られない欠陥があるとして、CVE-2026-95860 が 2026-11-04 に NVD に登録されました。登録元は GitHub です。

何が起きるか

• 対象は node-opcua の 2.42.0 以降 2.180.0 未満です。
• setDefaultRolePermissions で名前空間に制限の厳しい既定の権限を設定しても、ノードごとの個別設定が無いノードでは、その既定が実行時に使われません。権限を調べる処理（SessionContext.getApplicableRolePermissions）が、設定した値ではなく、存在しない（または null の）別のメタデータを読み、null を「許可」と扱うためです。
• その結果、認証していないネットワーク上の相手が、CurrentWrite 権限のある変数に書き込んだり、結び付けられたメソッドを呼び出したりできる恐れがあります。
• 影響を受けるのは、既定の権限を設定し、個別ノードの設定に頼らず継承で制限していたサーバーです。方針を一切宣言していないサーバー、ノードごとに権限を明示しているもの、プログラムで正しく権限を結び付けているものは、この問題の対象外とされています。
• 弱点の種別は CWE-285・636・863・1188（認可の不備、安全でない既定値など）です。

数値と severity

• CVSS v3.1 は 9.1（CRITICAL）。ベクターは AV:N/AC:L/PR:N/UI:N/C:H/I:H/A:N で、評価元は GitHub です。NVD の状態は Deferred で、NVD 自身の評価はまだありません。
• 認証が不要で CVSS が 9 以上のため、severity は critical とします。
• FIRST の EPSS はデータなし（算出前）。CISA の KEV には載っていません。

対策

• node-opcua を 2.180.0 以降に更新する。
• 更新できるまでは、重要な変数やメソッドにノードごとの権限（RolePermissions）を明示する。
• OPC UA サーバーを、信頼できないネットワークやインターネット側に公開しない。匿名接続を許可していないかも確かめる。
• 制御系の機器につながるサーバーでは、変数への不審な書き込みやメソッド呼び出しの記録がないか確かめる。

未確認の点

• 説明文は「2.180.0 まで」と「2.180.0 で修正」の両方を述べており、2.180.0 自体が修正済みか（修正版が 2.180.0 か、その次の版か）は、修正のリリースページを開いて確かめていません。
• 実際に悪用されているか、規模はどの程度か。
• 具体的にどの製品がこの部品を使っているか。
• NVD の最終評価と EPSS。

出典

• NVD: CVE-2026-95860
• node-opcua GHSA-xggf-m53x-jc3f（NVD の参照先。未開封）
• node-opcua v2.180.0 リリース（NVD の参照先。未開封）
• FIRST EPSS（CVE-2026-95860 はデータなし）