UgCS サーバーで、HCI ログインが空の資格情報で通り、認証なしでドローンへの命令や飛行ルートの送信を実行される恐れ（CVE-2026-59104・6.2 より前）

UAV（ドローン）の運航計画ソフト UgCS のサーバーに、ログインの資格情報が空でも認証済みのセッションが得られる脆弱性（CVE-2026-59104）が登録されました。CVSS は v4.0 で 9.3、v3.1 で 9.8（いずれも CRITICAL）。対象は 6.2 より前で、CVE の記載上は 6.2 が修正の境目と読めますが、提供元の勧告は確認できていません（未確認）。

内容

NVD に登録された CVE の記述（2026-11-06 公開）では、次の条件で起きるとされています。

• UgCS サーバーの HCI プロトコルのログイン処理（LoginHandler）は、TCP 3334 番ポートで待ち受けます。
• ユーザー DB にユーザーがちょうど 1 人（1 人で運用する既定の導入）のとき、userLogin と userPassword が空のログイン要求が「唯一のユーザーを使う」と解釈され、認証済みのセッションが返されます。
• 既定では全インターフェース（0.0.0.0）で、TLS なしで待ち受けます。
• そのため、3334 番ポートに届くネットワーク上の認証なしの攻撃者が、資格情報を知らなくてもセッションを得て、接続中のドローンへの命令や飛行ルートの送信などの特権コマンドを出せる恐れがあります。

攻撃の手順の詳細や、実際の被害は公表されていません。本稿は公開情報を読んだだけで、再現はしていません。手順は載せません。

評価

指標	値
CVSS v4.0（CNA の登録・NVD 上は Secondary）	9.3 AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H
CVSS v3.1（同上）	9.8 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE	CWE-287（不適切な認証）
NVD 登録	2026-11-06（状態は「Received」で、NVD 自身の評価は未実施）
EPSS（FIRST・11/7 時点）	値なし（未算出）
CISA KEV	掲載は確認できず（11/7 取得）

認証が不要でネットワークから攻撃でき、評価も 9.0 以上のため、当サイトの基準で severity 案は critical とします。

影響を受ける版と対処

• 影響: UgCS サーバー 6.2 より前（SPH Engineering。Windows・macOS・Linux）。
• 対処: CVE の記載からは 6.2 以降への更新が考えられます。ただし、提供元の勧告・リリースノートは確認できておらず、6.2 が実際にこの問題の修正かは未確認です。
• 緩和策の公表は確認できていません。

利用者が考えられること

1. UgCS サーバーの版を確認します（6.2 より前が対象）。
2. TCP 3334 番ポートを、信頼できるネットワークだけに制限します。インターネットや共有ネットワークに公開しないでください。
3. 提供元（UgCS / SPH Engineering）の最新の案内を確認し、6.2 以降への更新を計画します。
4. 利用者が 1 人だけの導入は条件に当たります。ユーザーを追加できるか、提供元に確認してください（効果は未確認）。
5. 身に覚えのないログインや飛行ルートの変更がないか、ログを確認します。

未確認の点

• 提供元の勧告・リリースノートの有無、6.2 が修正版か、修正の内容。
• 悪用の有無、公開された攻撃コード（CISA KEV に掲載は確認できず）。
• ユーザーが 2 人以上のときに影響を受けないか（記述上は 1 人の場合が条件）。
• NVD 自身の評価、利用規模。