VITEC Flamingoに未認証RCE 2件、root奪取

【更新 2026-08-19】本記事を見直し、修正しました。主な修正点：①公表日の記述を訂正（NVDへの登録は8月14日ではなく公表と同じ7月13日。8月14日はNVDの分析完了＝最終更新日）。②「エンドポイントへのアクセス制限はアドバイザリでも回避策として挙げられている」との記述を訂正（VulnCheck・発見者の各アドバイザリに回避策の記載はなく、緩和策は本稿としての提案であることを明記）。

結論から言います。社内向けの映像配信アプライアンス「VITEC Flamingo」に、認証なしでroot権限の任意コマンド実行を許す脆弱性が2件公表されました。CVE-2026-60121（CVSS v3.1で9.8／v4.0で9.3）とCVE-2026-61498（同じく9.8／9.3）で、いずれも管理画面のAjaxエンドポイントが入口です。影響を受けるのはFlamingo 4.12.2およびそれ以前。本稿執筆時点で、ベンダから公開された修正版の情報を筆者は確認できていません。まずは「そもそも自社にこの機器があるか」の確認から始めてください。

「聞いたことのない製品だ」と思った方こそ、この先を読んでください。この製品は情シスの資産台帳に載っていないまま社内ネットワークで動いている典型例だからです。

VITEC Flamingoとは何をする製品か
この記事でわかること
何が起きたのか
なぜ防げなかったのか：エスケープが剥がれる「二重評価」
想定されるリスク
自社が該当するかの確認手順
現場目線の課題：持ち主が曖昧な機器がいちばん危ない
情シスはどうすべきか
まとめ
出典

VITEC Flamingoとは何をする製品か

何をするものか：VITEC Flamingoとは、社内のIPネットワークを使ってテレビ放送や社内配信映像を各画面へ届けるIPTV配信アプライアンスです。Linux上でPHPの管理画面が動く、いわゆる箱物のサーバ製品です。
誰がどこで使うか：VITECは自社のIPTV配信ソリューションについて、企業の社内イベント配信、ホテルの客室・ロビー、スタジアム、大学、医療機関、政府機関での利用を挙げています。日本でも受付・食堂・会議室のデジタルサイネージや、ホテルの客室TVの裏側で使われる位置づけの製品です。導入を主導するのは情シスではなく総務やAVインテグレーターであることが少なくありません。
「Flamingo」で探しても見つからないことがある ← ここが最重要です。Flamingoはもともとフランスのアネヴィア（Anevia）社の製品で、VITECが2021年11月にAneviaのホスピタリティ／エンタープライズ映像配信事業を買収して引き継いだものです。そのため資産台帳には「Anevia」名義で記載されている可能性があります。さらに、VITEC公式のIPTV配信ソリューションページには現在「Flamingo」という製品名が現れません（筆者確認）。製品名だけで棚卸しをすると取りこぼします。納入したAV業者への確認まで含めて探してください。

この記事でわかること

CVE-2026-60121／CVE-2026-61498で具体的に何ができてしまうのか
escapeshellarg()を通したのに防げなかった「二重評価」という失敗の型
自社が該当するかの確認手順と、修正版が無い状況での現実的な緩和策
資産台帳に載らないAV機器を、情シスがどう扱うべきか

何が起きたのか

研究者のYassine Damiri氏とAdam Outikni氏が、Flamingo 4.12.2の管理画面に2件の未認証OSコマンドインジェクションを報告しました。公表は2026年7月13日で、NVDへの登録も同日です。NVDで分析が完了（最終更新）したのが8月14日、JVN iPediaへの日本語登録が8月17日です。

CVE	入口	悪用に使うパラメータ	CVSS（v3.1／v4.0）
CVE-2026-60121	`admin/ajax/ping.php`	POSTの`host`	9.8／9.3
CVE-2026-61498	`admin/ajax/gen_graphs.php`	GETの`start`／`end`／`key`／`format`	9.8／9.3

両方に共通する深刻な点が2つあります。ひとつは認証が要らないこと。管理画面のエンドポイントでありながら、ログインせずに叩けます。もうひとつは実行権限がrootであること。Webサーバのプロセスがパスワード不要のsudoを持つ構成だったため、コマンドが通った瞬間に機器の全権を握られます。攻撃の難易度と得られるものが、まったく釣り合っていません。

なぜ防げなかったのか：エスケープが剥がれる「二重評価」

CVE-2026-61498のほうは単純で、グラフ生成スクリプトがユーザー入力を検証せずにpassthru()へ渡していた、という古典的なパターンです。

興味深いのはCVE-2026-60121です。開発側はきちんとescapeshellarg()を呼んでいました。それでも防げませんでした。研究者の解説によると、処理はこう流れます。

ping.phpがPOSTのhostを受け取り、escapeshellarg()でエスケープする（ここは正しい）
その値をシェル経由でラッパースクリプト（研究者の解説では/usr/share/commands/ping）に渡す
ラッパー側はargvから値を受け取る。この時点でエスケープはシェルによって解除済みで、生の文字列に戻っている
ラッパーはその生の文字列を、エスケープし直さずに2回目のshell_exec()へ連結する
2回目のシェル解釈でメタ文字が生き返り、任意コマンドが実行される

教訓を一般化すると、シェルのエスケープは「シェルに渡す直前の1回」にしか効かないということです。値がシェルを2回通る設計なら、1回目のエスケープは2回目には引き継がれません。これは他人事ではありません。監視の疎通確認、ログ収集、バックアップ投入など、自社の内製運用スクリプトでもラッパーを一枚噛ませる構成はよくあります。「エスケープ関数を呼んでいるから安全」というレビューの通し方をしていないか、この機会に確かめる価値があります。

加えて、Webサーバにパスワード無しのsudoを与えていた設計も効いています。pingやtcpdumpのような特権が必要なコマンドを画面から叩かせるアプライアンスでは起きがちな構成ですが、入力検証が1か所破れただけで即rootという単一障害点になります。同種の「未認証RCEでroot奪取」はDell VSI脆弱性70件、未認証RCEでroot奪取でも取り上げました。

想定されるリスク

「映像を流すだけの機械」と侮れない理由が3つあります。

表示内容を握られる：受付・食堂・会議室・客室の画面に、攻撃者が任意の映像や文字を出せます。実害としては軽く見られがちですが、来客の目に触れる場所である以上、信用への打撃は小さくありません。
内部ネットワークへの足がかり：root権限のLinuxホストが社内に1台できるということです。侵入後の中継拠点として使われるリスクは、ORB化とは境界機器が攻撃の中継拠点にされる脅威で整理した構図とそのまま重なります。
気づけない：この種の機器は24時間稼働で、EDRは入らず、ログはどこにも転送されていないのが普通です。侵入されても検知の当てがありません。

なお本稿執筆時点で、この2件が実際に悪用されたという報告や、CISAのKEV（悪用が確認された脆弱性カタログ）への登録は、公開情報の範囲では確認できていません。ただしCVSS 9.8の未認証RCEで、攻撃手法が公開されている以上、状況が変わる前提で動くのが妥当です。

自社が該当するかの確認手順

名前で探す：資産台帳とAV機器の納入リストを「VITEC」「Anevia」「Flamingo」「IPTV」で横断検索します。前述のとおり旧社名で載っている可能性があるため、3つとも試してください。
台帳に無い場合はAV業者に聞く：サイネージや館内TVを納入した業者に、映像配信サーバの機種名と保守契約の有無を照会するのが確実です。台帳に無い＝存在しない、ではありません。
バージョンを確認する：管理画面のバージョン表示が4.12.2以下なら影響範囲に入ります。なお公開されたアドバイザリでは「影響を受けるバージョン範囲は未確定」とされており、4.12.2より前のバージョンも安全ではない点に注意してください。
到達範囲を確認する：管理画面がインターネットから見えていないか、全社LANの誰からでも叩ける状態になっていないかを確認します。ここが最も緊急度の高い確認項目です。
修正版の有無をベンダに照会する：公開情報に修正版が見当たらないため、VITECまたは納入業者への問い合わせが実質的な第一手になります。

現場目線の課題：持ち主が曖昧な機器がいちばん危ない

正直なところ、この手の脆弱性で一番時間を取られるのは技術的な対応ではなく、「これ、うちの管理でしたっけ」から始まる社内の確認作業です。発注したのは総務、納入したのはAV業者、ネットワークにつないだのは情シス、日常的に触っているのは誰もいない。壊れれば「画面が映らない」と情シスに連絡が来るのに、パッチ適用の責任者は決まっていない。

認証不要のRCEは、まさにこういう機器で最大の効果を発揮します。誰も見ていないからです。今回の件を、Flamingoの有無にかかわらず「情シス台帳に載っていないネットワーク接続機器」を洗い出すきっかけにすることを勧めます。複合機、入退室管理、防犯カメラ、会議室予約パネル、そしてサイネージ。AutelのEV充電器に脆弱性8件認証不要RCEもで扱ったEV充電器も同じ系譜です。

情シスはどうすべきか

自前で長いチェックリストを作るより、公的な枠組みに乗るほうが早く、社内説明にも使えます。

台帳外の公開資産を見つける枠組み：経済産業省のASM（Attack Surface Management）導入ガイダンスが、外部から見える自組織のIT資産を発見・管理する考え方を整理しています。「知らない機器が外に出ていないか」を継続的に見る仕組みづくりの出発点として、まずこれを読んでください。考え方の基礎はEASMとは？外部攻撃対象領域管理の仕組みを解説にもまとめています。
修正版が出るまでの緩和策：管理画面への到達経路を絞ることが現実的です。インターネットからの遮断、送信元IPの制限、管理VLANへの隔離。特に該当エンドポイント（admin/ajax/配下）へのアクセス制限が要点です。なお、公開されたアドバイザリ（VulnCheckおよび発見者による解説）に回避策の記載はなく、JVN iPediaの対策欄も「ベンダ情報を参照して適切な対策を実施してください」とするにとどまります。ここに挙げた緩和策は本稿としての提案です。
組織的な備え：中小規模の組織であれば、IPAの中小企業の情報セキュリティ対策ガイドラインが資産管理と体制整備の要点を押さえています。「持ち主が曖昧な機器」問題は、突き詰めれば体制の問題です。
手が届かない機器が侵害されたときの練習：IPAのセキュリティインシデント対応机上演習教材は、こうした「管轄が曖昧な資産」でのインシデントを想定した机上演習に流用できます。誰が判断し誰が業者に連絡するかを、事故が起きる前に決めておく効果は大きいです。

まとめ

VITEC Flamingo 4.12.2以前に認証不要・root権限の任意コマンド実行が2件（CVE-2026-60121／CVE-2026-61498、CVSS 9.8）。入口は管理画面のping.phpとgen_graphs.phpで、本稿執筆時点で公開された修正版は確認できていない。
CVE-2026-60121はescapeshellarg()を呼んでいたのに防げなかった。値がシェルを2回通ればエスケープは剥がれる——自社の内製運用スクリプトにも同じ型の穴がないか点検したい。
この製品は旧Anevia製で、公式サイトにも製品名が見当たらない。「VITEC」「Anevia」「Flamingo」の3語で台帳を検索し、無ければAV業者に照会するところから始めるのが実務上の第一手。