業務用清掃ロボットDEEBOT PROに脆弱性10件

【更新 2026-08-01】本記事を見直し、修正しました。主な修正点：提供元サイトに「ホテルチェーンや総合病院での導入事例が掲載されている」としていた記述を、同サイトが実際に掲げている導入シーン（宿泊施設・飲食店・オフィスビル・工場や倉庫・医療機関）の記述に訂正しました。

業務用の清掃ロボット「DEEBOT PRO M1」「DEEBOT PRO K1VAC」と、これらを操作するスマートフォンアプリ「ECOVACS PRO」に、合計10件の脆弱性が公表されました（JVNVU#92804348／2026年7月31日公開）。telnetサーバやデバッグ用のWebサーバが有効なまま動作しており、施設のフロアマップを外部から取得されたり、認証なしでロボットを操作されたりする恐れがあります。

ただし対策欄の記述は拍子抜けするものです。開発元によれば修正版へのアップデートはすでに完了しており、ユーザによる追加対応は不要とされています。それでも本記事で取り上げるのは、10件のうち1件が2021年に公表されたCVSS 9.8（緊急）の既知の脆弱性であり、しかもそれが通信モジュールという「製品名で検索しても出てこない部品」に潜んでいたからです。情シスの資産台帳では捕まえようのない話が含まれています。

この記事でわかること

• 対象となる2機種＋アプリと、修正済みバージョンの正確な番号
• 10件の脆弱性の中身と、CVSSスコアが実態を映していない箇所
• 5年前のCVEがサードパーティ製の通信モジュール経由で残っていたという構図
• 「対応不要」と言われた情シスが、それでも確認すべき3つのこと

何が起きたのか

JPCERT/CCとIPAが運営する脆弱性情報ポータルJVNに、2026年7月31日、ECOVACS ROBOTICS製の業務用清掃ロボットに関する脆弱性情報が公表されました。日本国内での提供元はHellohas Robotics株式会社（ハロハスロボティクス）です。同社がECOVACS ROBOTICSへ直接報告し、調整を経てJVNで公表された、という経緯が記載されています。

対象製品と修正済みバージョンは次のとおりです。

DEEBOT PROシリーズは家庭用ではなく、業務用途向けに販売されている自律走行型の清掃ロボットです。提供元のサイトは、宿泊施設・飲食店・オフィスビル・工場や倉庫・医療機関を導入シーンとして挙げています。つまり読者の勤務先の建物のどこかを、実際に走っている可能性がある機械です。

10件の脆弱性の中身

公表された脆弱性を、CVSS v4.0の基本値が高い順に整理します。

telnetとデバッグ用Webサーバが「有効」だったという意味

上位2件はいずれもCWE-489、すなわち開発時のデバッグ機能が製品出荷後も残存していた類型です。特別な設定ミスの結果ではなく、出荷時の状態がそうだったということになります。読者側で「うちは変な設定をしていないから対象外」という判断ができないタイプの欠陥です。

スコアと影響記述が噛み合わない箇所がある

表を眺めると、CVE-2026-66406はCVSS v4.0で2.3（注意）と最低水準でありながら、想定される影響は「管理者権限で任意のコードを実行される」と書かれています。これは、成立に中間者攻撃の位置取りと利用者の関与が要るという「攻撃の難しさ」がスコアに強く効いている一方で、成立したときに取られる権限の高さがスコアに現れていないためです。

ここは実務上の教訓として押さえておきたいところです。スコアで足切りするトリアージ運用では、この1件は確実に取りこぼされます。判断材料はスコアではなく、①成立時に取られる権限の高さ、②その資産が施設のどこにあるか、の2点です。同じことはCVE-2026-66408（root パスワード取得／v4.0 5.1）にも言えます。攻撃元区分が物理（AV:P）だとスコアは下がりますが、清掃ロボットは共用部に置かれ、夜間は無人フロアを走る機械です。外部の人間にとって物理アクセスの敷居は、サーバ室のラックとは比べものになりません。

本題は「5年前のCVEが載っていた」こと

今回もっとも注目すべきはCVE-2021-31698です。JVNはこれを「脆弱なサードパーティ製コンポーネントの使用」として掲げ、製品で使用しているQuectel EG25-Gデバイスにおいて既知の脆弱性が未修正である、と記載しています。

CVE-2021-31698はNVDによれば2021年8月12日公表、CVSS v3.1で9.8（緊急）のOSコマンドインジェクションです。ATコマンド処理でシェルのメタ文字が無害化されておらず、遠隔から任意コードを実行できるというもので、機密性・完全性・可用性のすべてが最高評価になっています。

そしてQuectel EG25-Gは、Quectel社の製品情報によればM2M／IoT向けに最適化されたLTE Cat 4の通信モジュールです。GNSS（測位）にも対応しています。ここから、情シスにとって重い論点が2つ出てきます。

論点1：製品名で脆弱性を追っていても見つからない

2021年から2026年まで、この既知の脆弱性は「DEEBOT」でも「ECOVACS」でも検索に引っかかりませんでした。脆弱性は完成品ではなく、その中に載っている部品の側にあったからです。ベンダー名・製品名を軸にした脆弱性情報の収集は、この構造を原理的に拾えません。ソフトウェア部品表（SBOM）やハードウェア構成の開示が調達要件として語られるのは、まさにこの穴を塞ぐためです。

これはサプライチェーン攻撃で語られる構図と根は同じですが、攻撃者が意図的に侵入したわけではない点が違います。誰も悪意を持っていなくても、部品の脆弱性は完成品に静かに引き継がれます。

論点2：LTEモジュールは社内ネットワークの外に出る経路になりうる

LTE通信モジュールを搭載した機器が社内にあるということは、その機器が社内のファイアウォールやプロキシを一切通らずに外部と通信しうることを意味します。ネットワーク分離もURLフィルタリングも、経路が携帯網であれば効きません。

ここは正直に書いておきます。個々の導入現場でSIMが有効化され実際にLTE通信が行われているかどうかは、公表情報からは確認できません。測位機能のみを使っている構成もありえます。断定はできませんが、少なくとも「社内Wi-Fiに繋いでいないから、この機械は社外と通信していない」という前提は置けない、ということは言えます。この種の機器を導入する際は、通信経路の仕様を提供元に確認する価値があります。

論点3：漏れるのが「フロアマップ」であること

CVE-2026-66403で取得されうるのはフロアマップとログ情報です。清掃ロボットが自律走行のために作る地図は、建物内部の間取りそのものです。ホテルの客室配置、病院の病棟レイアウト、オフィスの執務エリアと会議室の位置関係が該当します。

これは個人情報保護法の漏えい報告の枠組みには基本的に乗りません。だからこそ社内の判断基準からも抜け落ちやすいのですが、物理セキュリティの観点では下見情報そのものです。加えて稼働ログからは、どのエリアがいつ無人になるかが推測できます。情報資産の分類表に「建物の間取り」という行を持っている組織は、そう多くないはずです。

現場目線の課題：そもそも情シスの管轄ではない

この手の記事でいちばん書きづらいのは、読者の多くが自社に清掃ロボットがいるかどうかを知らないという点です。清掃ロボットを選定・発注するのは総務部やファシリティ部門であり、清掃業務そのものが外部委託であれば、機械の持ち主が自社ですらないこともあります。稟議に情シスの押印欄がない買い物は、資産台帳に載りません。

同じ構図は繰り返し起きています。ドライバーやポータブル版ツールが「インストール済みソフトウェア一覧」に出てこないのと同様に、複合機や無線アクセスポイントのような「ネットワークに繋がっているのにIT資産と見なされていない機械」は、脆弱性管理のプロセスを素通りします。侵害された機器が他ノードへの踏み台や中継拠点にされる筋道も、すでに珍しい話ではありません。

正直なところ、フロアの端末細部まで目が届かないもどかしさは常にあります。それでも今回のように具体的な製品名が出た機会は、総務部門に「うちに清掃ロボットはいますか」と聞きに行く、ごく自然な口実になります。年に何度も来ない機会です。

「追加対応は不要」と言われた情シスがやること

JVNの対策欄は、周知とアップデートは完了済みでユーザ側の追加対応は不要、としています。これは開発元の申告であり、疑う理由は特にありません。ただし「対応不要」が成立するのは、その機器が更新の届く管理下にある場合だけです。最低限、次の3点は確認しておく価値があります。

1. 台数と所在の確認：総務・ファシリティ部門、および清掃委託先に、対象2機種の導入有無を照会する。委託先が持ち込んでいる機材も対象に含める
2. バージョンの現認：修正版はM1が M1-1.7.27、K1VACが V1.7.821、アプリが 1.3.82 です。管理アプリ上で実機のバージョンが上の番号以上になっているかを目視で確認する。ネットワークから切り離して運用していた個体は、自動更新が届いていない可能性があります
3. 通信経路の確認：社内のどのSSID／VLANに接続しているか、および携帯網経由の通信を行う構成かどうかを提供元に確認する

あわせて、無線コントローラのクライアント一覧やDHCPのリース情報を眺め、用途を説明できない機器がぶら下がっていないかを確認しておくと、清掃ロボットに限らない棚卸しになります。

公的な指針への接続

IoT機器の扱いは自前でチェックリストを作り込むより、公的な指針を土台にしたほうが早く、社内説明にも耐えます。

• IPA「IoTのセキュリティ」：IoT機器のセキュリティに関する資料が集約されています。導入側・開発側それぞれの観点の資料が置かれています
• IoTセキュリティガイドライン ver1.0（IoT推進コンソーシアム／総務省／経済産業省）：守るべきものを特定し、リスク分析を行うという順序が示されています。今回のフロアマップのように「守るべきもの」の定義から漏れている資産を洗い出す枠組みとして使えます
• 中小企業の情報セキュリティ対策ガイドライン（IPA）：委託先管理を含めた基本の型が揃っています

中長期では、IPAが運用するJC-STAR（セキュリティ要件適合評価及びラベリング制度）のような、IoT製品のセキュリティ水準を可視化する仕組みが調達の判断材料になっていきます。今回のように部品由来の脆弱性が5年放置される事態に対して、購入時点で一定の担保を求められるようになる方向です。総務部門が機器を選ぶ際に「ラベルの有無を見てほしい」と伝えておくのは、情シスができる地道な働きかけの一つです。

公表までに4か月かかっている点について

時系列を並べると次のようになります。

修正の配信と国内提供元のお知らせが3月末、JVN掲載が7月末で、約4か月の開きがあります。脆弱性の届出調整では珍しい流れではありませんが、実務上の含意ははっきりしています。JVNやIPAの注意喚起だけを情報の入口にしていると、機器ベンダー側で先に動いている話は数か月遅れで届くということです。導入している機器については、提供元のお知らせページを購読先に加えておくのが確実です。

まとめ

1. 業務用清掃ロボットDEEBOT PRO M1／K1VACとアプリECOVACS PROに10件の脆弱性が公表されました（JVNVU#92804348）。telnetやデバッグ用Webサーバが有効で、フロアマップの取得や認証なしの操作が成立しうる内容です。開発元は更新完了・追加対応不要としていますが、台数の把握とバージョンの現認は自社で行う必要があります
2. 10件のうち1件は2021年公表・CVSS 9.8の既知の脆弱性が、LTE通信モジュールというサードパーティ製部品を経由して残っていたものです。製品名を軸にした脆弱性情報の収集では、この型は原理的に見つかりません
3. 清掃ロボットは総務・ファシリティ部門や清掃委託先が持ち込むため、IT資産台帳に載らないまま社内に存在しがちです。漏れるのが施設のフロアマップである点も含め、既存の情報資産分類と脆弱性管理のプロセスが素通りする典型例です

出典

• JVNVU#92804348 ロボット掃除機DEEBOT PRO M1、DEEBOT PRO K1VACおよびスマートフォンアプリECOVACS PROにおける複数の脆弱性（JVN、2026年7月31日）
• DEEBOT PRO M1/K1VAC ファームウェア更新のお知らせ（Hellohas Robotics株式会社、2026年3月31日）
• CVE-2021-31698（NVD）
• LTE EG25-G 製品情報（Quectel）
• IoTのセキュリティ（IPA）
• IoTセキュリティガイドライン ver1.0（IoT推進コンソーシアム／総務省／経済産業省）