Universal Robotsの産業用協働ロボットに重大な脆弱性、CVE-2026-8153で認証不要のOSコマンド実行の恐れ|セキュリティニュースのセキュリティ対策Lab

セキュリティニュース

投稿日時: 2026年05月22日更新日時: 2026年05月22日

Universal Robotsの産業用協働ロボットに重大な脆弱性、CVE-2026-8153で認証不要のOSコマンド実行の恐れ

Universal Robotsは、同社の協働ロボットを制御するPolyScope 5に、OSコマンドインジェクションの重大な脆弱性　CVE-2026-8153が存在すると公表しました。

この記事のサマリー

Universal RobotsのPolyScope 5に、CVE-2026-8153が公開されました。
脆弱性はDashboard ServerインターフェースのOSコマンドインジェクションです。
CVSS v3.1の基本値は9.8で、Criticalに分類されています。
影響を受けるのは、PolyScope 5.25.1より前のバージョンです。
攻撃には、Dashboard Serverが有効であり、攻撃者がそのポートへ到達できることが必要です。
Universal Robotsは、PolyScope 5.25.1以降へのアップデートを推奨しています。
すぐに更新できない場合は、Dashboard Serverの無効化、信頼できるホスト・サブネットへの制限、OTネットワーク分離を確認する必要があります。

1 概要
2 PolyScope 5とは
3 過去のOT・ICS関連事案との関係
4 脆弱性の詳細
5 Dashboard Serverが危険な理由
6 情報・出典

概要

影響を受けるのは、PolyScope 5.25.1より前のバージョンです。Universal Robotsは、修正版としてPolyScope 5.25.1を公開しており、利用者に対して5.25.1以降への更新を推奨しています。

CVE-2026-8153は、PolyScope 5のDashboard Serverインターフェースに存在する脆弱性です。攻撃者がDashboard Serverのネットワークポートへ到達できる場合、認証なしで細工したコマンドを送信し、ロボットのOS上でコマンドを実行できる可能性があります。

CVSS v3.1の基本値は9.8で、Criticalに分類されています。産業用ロボットは物理動作を伴うため、一般的なITシステムの脆弱性よりも、操業、安全、品質、設備保全への影響を強く意識する必要があります。

PolyScope 5とは

PolyScope 5は、Universal Robotsの協働ロボットを操作・制御するためのソフトウェア環境です。

Universal Robotsの協働ロボット、いわゆるコボットは、製造現場や物流現場などで、人の近くで作業する用途に使われることがあります。PolyScopeは、ロボットプログラムの作成、実行、停止、状態確認など、ロボット制御に関わる操作を担います。

今回問題となったDashboard Serverは、Universal Robotsが提供するリモート制御用のインターフェースです。公式ドキュメントでは、ロボットのIPアドレスのTCP 29999番ポートで動作し、TCP/IPソケット経由でGUIへ簡単なコマンドを送信することで、ロボットを遠隔制御できる仕組みと説明されています。

Dashboard Serverの主な機能には、ロボットプログラムのロード、実行、停止、一時停止、ユーザーアクセスレベルの変更、ロボット状態の取得などがあります。つまり、利便性の高い管理インターフェースである一方、ネットワーク上で到達可能な場合には、攻撃面にもなります。

過去のOT・ICS関連事案との関係

今回の脆弱性は、通常のWebアプリケーションや業務システムの脆弱性ではなく、OT、ICS、産業用ロボットに関わる問題です。

セキュリティ対策Labでは、過去にも中東情勢に伴うNCSCの注意喚起で、ICSやOT環境を想定した既存助言の確認、監視強化、外部攻撃面の点検が必要である点を取り上げています。OT環境では、インターネットへ直接公開されていなくても、ITネットワーク、保守回線、VPN、ベンダー接続、フラットなLANを経由して攻撃される可能性があります。

今回のCVE-2026-8153も、Universal Robotsは、ロボットがインターネットへ直接公開される設計ではなく、通常はファイアウォールで直接の受信アクセスが防がれていると説明しています。一方で、LAN内から到達可能なロボットは、そのネットワークを起点とした攻撃を受ける可能性があります。

製造現場では、ロボット、PLC、HMI、SCADA、検査装置、搬送装置、カメラ、MES、保守用PCが同一または近接したネットワークに置かれていることがあります。ネットワーク分離が不十分な場合、IT側の侵害や保守端末の侵害からOT機器へ到達されるリスクがあります。

脆弱性の詳細

項目	内容
CVE	CVE-2026-8153
製品	Universal Robots PolyScope 5
影響バージョン	PolyScope 5.25.1より前
修正版	PolyScope 5.25.1以降
脆弱性種別	OSコマンドインジェクション
影響コンポーネント	Dashboard Server interface
CWE	CWE-78
CVSS v3.1	9.8 Critical
攻撃条件	Dashboard Serverが有効で、攻撃者がポートへ到達可能
想定影響	リモートコード実行、ロボットコントローラの侵害、機密性・完全性・可用性への高い影響

重要なのは、攻撃に認証が不要である点です。攻撃者がDashboard Serverのポートへネットワーク的に到達できれば、脆弱性の悪用条件に近づきます。

一方で、Universal Robotsは、CVE-2026-8153のリモート悪用にはDashboard ServerがUI上で有効化されており、かつ攻撃者がそのポートへ到達できる必要があると説明しています。つまり、外部から常に攻撃可能というより、ネットワーク公開状態とサービス有効化状態がリスクを左右します。