CVE-2026-54161 nut・yeti・TP-Link Tapo Cloud ほか（一覧のみ）｜AI・DXを支えるセキュリティレポート(Security Report)

編集部の見出し：nut・yeti・TP-Link Tapo Cloud ほか（一覧のみ）

CVE（NVD）CVSS 8.1 HighEPSS 0.6%

NVD の情報

Network UPS Tools is a collection of programs which provide a common interface for monitoring and administering UPS, PDU and SCD hardware. From 2.8.3 to 2.8.5, upsmon in clients/upsmon.c inserts the server-supplied ups.alarm value into shell commands executed by notify(), async_notify(), and wall(). When a monitored device reports an ALARM state and an operator has configured NOTIFYCMD with EXEC in NOTIFYFLAG ALARM, shell metacharacters in the alarm text are evaluated on POSIX or Windows and can execute arbitrary operating-system commands as the upsmon account, which is commonly root. An attacker can control the value through a malicious or compromised upsd, a man-in-the-middle on a plaintext upsd to upsmon connection, or a compromised UPS device whose driver supplies the alarm upstream of upsd; TLS between upsd and upsmon does not mitigate the compromised-device path. This vulnerability is fixed in 2.8.6.

公開日: 2026-11-03
最終更新（NVD）: 2026-11-03
NVD の状態: Received
脆弱性の種類: CWE-78

深刻度（CVSS）

8.1 HighCVSS 3.1／副／評価：security-advisories@github.comCVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

悪用の状況

CISA KEV には掲載されていません（掲載されていないことは、悪用されていないことの証明ではありません）。

EPSS：今後30日に悪用される推定確率 0.64%（全体の上位 49.1%、評価日 2026-11-04）

解消方法

解消方法の情報なし

「NVD の条件から推定」は、NVD が影響ありとする版の上限から読み取ったもので、修正版とは限りません。「解消方法の情報なし」は、修正が無いという意味ではありません。必ずベンダーの公告で確認してください。

編集部の記載（レポート掲載時）

レポートの編集部がベンダー公告などから転記した内容です。検証済みの値ではないため、必ず出典で確認してください。

2026-11-04 のレポートnut・yeti・TP-Link Tapo Cloud ほか（一覧のみ）

一覧の記載のみ。修正版は未確認。

https://nvd.nist.gov/vuln/detail/CVE-2026-54161

参照（NVD）

NVD から取得：2026-11-04T20:45:24.470Z／EPSS 評価日：2026-11-04

This product uses the NVD API but is not endorsed or certified by the NVD.

悪用の確認情報は CISA Known Exploited Vulnerabilities Catalog（NVD 経由で取得）によります。EPSS は FIRST（www.first.org/epss）によります。