Phoenix Contact の PLCnext Engineer でプラグインのアーカイブ展開に経路トラバーサル（CVE-2026-110935）: CVSS v3.1 8.4、2026.6 未満が対象

Phoenix Contact の産業用制御ソフト PLCnext Engineer に使われているプラグイン基盤（PFI）で、アーカイブ展開時のパス検査が足りない問題（CVE-2026-110935）が、2026-11-04 に NVD へ登録されました。登録元は CERT@VDE で、NVD の状態は「Received」（未評価）です。

何が起きるか

• PFI のプラグイン配備処理が、ローカルのプラグイン保管場所へアーカイブを展開するとき、パスの部品を検査していません。
• 「..」のような相対パスを含むエントリーが拒否されないため、保管場所の外にある、実行ユーザーの権限で書き込める任意の場所にファイルを書けます。
• 公式の説明では、結果としてシステム全体の侵害につながるおそれがあります。
• 攻撃者はローカルの利用者で、認証は不要とされています。

数値と severity

• CVSS v3.1 は 8.4（HIGH）。ベクターは AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H です。CVSS v4.0 は 8.6（HIGH）。
• 認証は不要ですが、攻撃元がローカルに限られ、CVSS も 9 未満のため critical にはせず、severity は high とします。
• CWE は CWE-22（パス・トラバーサル）です。
• EPSS と CISA の KEV は本記事の作成時点で未確認です。

影響を受ける製品

• Phoenix Contact PLCnext Engineer の 2026.6 未満（NVD の affected 情報）。
• 同じ日に登録された別の問題 CVE-2026-110022（署名されていない DLL の差し替え）も、同じ PFI 基盤の同じ版が対象です。本記事では扱いません。

対策

• 2026.6 以降は影響を受けないと読めますが、修正の中身は確認できていません。
• 詳細は CERT@VDE のアドバイザリ VDE-2026-121 を確認してください。
• 一般的な対応として、プラグインパッケージは信頼できる入手元のものだけを使い、エンジニアリング用 PC を利用できる人を絞ることが考えられます（公式の指示ではありません）。

未確認の点

• 2026.6 での修正の具体的な内容と、回避策の有無。
• 実際に展開される経路（どの操作でパッケージを読み込むか）と、悪用の難しさ。
• 実際の悪用の有無、攻撃コードの公開状況。
• NVD の最終評価、EPSS、KEV の掲載状況。

出典

• NVD: CVE-2026-110935
• CERT@VDE: VDE-2026-121