2026年1月9日、MOXAは同社の産業用イーサネットスイッチに搭載されているOpenSSHコンポーネントに関する脆弱性情報を公開しました。対象はCVE-2023-38408で、CVSS 9.8（Critical）として整理されています。OTネットワークではスイッチが通信の集約点になりやすく、影響が機器単体に留まらないため、優先度を上げて点検が必要です。
概要
CVE-2023-38408は、OpenSSHのssh-agentにあるPKCS#11機能の挙動に起因し、条件次第でリモートコード実行（RCE）につながる可能性があると説明されています。
脆弱性の対象バージョン
MOXAのアドバイザリで影響が明記されているのは、次の製品シリーズとファームウェアです。
EDSシリーズ（EDS-G4000、EDS-4008、EDS-4009、EDS-4012、EDS-4014、EDS-G4008、EDS-G4012、EDS-G4014）はファームウェア v4.1 以前が対象です。
RKSシリーズ（RKS-G4000、RKS-G4028、RKS-G4028-L3）はファームウェア v5.0 以前が対象です。
対策バージョン
MOXAは本件に対するセキュリティパッチを用意しており、シリーズごとに適用すべきパッチ版が示されています。
EDSシリーズはセキュリティパッチ v4.1.58が対策版です。
RKSシリーズはセキュリティパッチ v5.0.4が対策版です。
パッチは一般公開のダウンロード提供ではなく、MOXAテクニカルサポートへ連絡して入手する形で案内されています。
原因
原因は、ssh-agentがPKCS#11関連のモジュールを読み込む際の検索パスが十分に信頼できない（安全な場所に限定されない）ことにあります。過去の関連問題（CVE-2016-10009）に対する修正が不完全だったことが背景として示されています。
関連記事
Moxa 産業用アプライアンスに複数の深刻な脆弱性(CVE-2025-6892、-6893、-6894、-6949、-6950)
Notepad++のアップデータに深刻な脆弱性、更新プロセスを乗っ取られマルウェアが配布される恐れ(CVE-2023-40031)
Vivotek(ビボテック)製 Webカメラ「IP7137」に複数の深刻な脆弱性
Ivanti Neurons for ITSM（オンプレミス版）に認証バイパス脆弱性(CVE-2025-22462)-早急なパッチ適用を推奨
WordPress用プラグイン「LiteSpeed Cache」で重大な脆弱性が発生（CVE-2023-40000）
Fortinet FortiWLMで致命的な脆弱性(CVE-2023-34990)
GitLabの脆弱性（CVE-2023-7028）を悪用したアカウント乗っ取りが発生
全ての Wi-Fi クライアントへ影響する脆弱性が観測される（CVE-2023-52424 ）
Microsoft、Windowsの定例アップデートで3件のゼロデイ 脆弱性を修正(CVE-2026-20805/21265/CVE-2023-31096)
