FUXAのCVE-2026-42922はCritical―Node-REDの認可回避を1.3.3で修正
CVSS 9.8。署名済みJWTを検証するだけではゲストを排除できず、Node-RED管理機能へのアクセスと任意コード実行につながります。
Cisco Talosの公表日：2026-10-29 / 公開： / 更新： / 最終確認：
Codingholic 編集部 · 約2分
Cisco Talosは2026年10月29日、FUXAのNode-RED統合にあるCVE-2026-42922を公表しました。CVSS v3.1は9.8でCritical（緊急）の範囲です。Talosが影響を確認した版は1.3.2-2809で、掲載されたベンダー回答によると1.3.3で修正しています。
FUXAは設備などの状態を表示・操作するWebベースのHMIソフトウェアです。Node-RED統合を有効にした構成では、/noderedへのリクエストを認可処理allowDashboardが受け取ります。しかしJWTの署名・有効性を確認した後、利用者の種類を十分に判定せず管理機能へ渡していました。
FUXAが未認証の利用者に発行するゲストJWTもこの検証を通るため、正規ユーザーとしてログインしなくてもNode-REDへ到達し、任意コード実行につながります。有効な署名を持つことと、管理操作を許可された利用者であることを混同した認可の問題です。
1.3.3では/noderedのミドルウェアでゲストJWTとリフレッシュトークンを拒否し、認証済みの非ゲスト利用者または有効なAPIキーを要求します。統合を利用する管理者は更新後、ゲストからの管理機能へのアクセスが拒否されることと、正規の運用が継続できることを確認してください。Talosの公表資料に実悪用の確認は記載されていません。
出典と編集について
Cisco Talos：TALOS-2026-2419：frangoteam FUXA /nodered authorization bypass vulnerability ↗本記事は公表資料に基づく速報です。判明した範囲を記載しており、続報で内容が変わる場合があります。