Shark製ロボット掃除機に未修正の脆弱性、同一リージョン内の他者デバイスを遠隔操作できる恐れ

要点

• ロボット掃除機「Shark」に、同一のクラウド接続リージョン内にある他のユーザーの掃除機を乗っ取ることができる未修正の脆弱性が存在することが判明しました。

• セキュリティ研究者のtokay0氏が実機を用いた検証結果を公開し、カメラ映像の盗み見やWi-Fiパスワードの奪取が可能であることを実証しました。

• 原因はクラウド（AWS）接続時のセキュリティ設定（ポリシー）の不備にあり、特定の古い機種から証明書を抽出することで、他人のデバイスを操作する「万能キー」として悪用できる状態になっています。

• 研究者は2026年3月に製造元のSharkNinja社に問題を報告したものの、4ヶ月以上が経過した現在も修正プログラムは提供されていません。

• 家庭用ロボット掃除機「Shark（シャーク）」シリーズに、同じ地域のクラウド上に接続されている他のユーザーの掃除機を遠隔から制御できてしまう重大な脆弱性が存在することが明らかになった。セキュリティ研究者のtokay0氏が2026年7月13日（現地時間）、自身が購入した実機での検証結果をもとにこのセキュリティ欠陥の詳細を公開した。製造元のSharkNinja（シャークニンジャ）社は同年3月に報告を受けていたものの、現時点で修正対応は行われていないという。

物理的な証明書の抽出と「万能キー」の作成

tokay0氏が公開した手法によると、この脆弱性はロボット掃除機「Shark RV2320EDUS」などの古いモデルから、クラウド接続に必要なセキュリティ証明書を物理的に取り出すことで悪用が可能になる。

掃除機の本体をドライバーで分解すると基板上のUART（汎用非同期送受信機：機器同士でシリアル通信を行うための端子）ピンが露出しており、起動ローダーであるU-Bootのコンソールにはパスワードなしでアクセスできる。ここから起動引数を書き換えてシステムファイルにアクセスし、管理者権限（ルートシェル）を取得することで、デバイス固有の暗号キーと証明書ファイルを容易にコピーできる状態だったという。

クラウド側での寛容すぎる設定が原因

抽出した証明書が「万能キー」として機能してしまう根本的な原因は、Sharkの管理クラウドであるAWS（Amazon Web Services）のIoTブローカー（デバイスとクラウド間の通信を中継するサーバー）側に存在する。通常、接続するデバイスごとに通信できる範囲を制限するべき「ポリシー」と呼ばれる権限設定が、このモデルの証明書ではデバイス個別に制限されていなかった。

この結果、抽出した証明書をクラウドに提示すると、同じAWSリージョン（データセンターが設置されている地域区分）内に存在するすべてのデバイス宛てにデータを出力したり、通信を監視したりすることが可能になる。

AWSではこのような過剰な権限付与を検知するための監査ツールとして「Device Defender」を提供しており、接続デバイスを特定の名前にピン留めしないポリシー設定を「IOT_POLICY_OVERLY_PERMISSIVE_CHECK（過度に寛容なポリシー）」として危険度「重大」に指定している。しかし、SharkNinja社は古いデバイス群に対してこの設定見直しを適用していなかったとみられる。

カメラ映像の取得や乗っ取りの実証

tokay0氏は実際に、RV2320EDUSから取得した証明書を用いて、標的用として別途購入した別のモデル「AV1102ARUS」への接続を試みた。その結果、標的のデバイスがクラウド上で状態を管理するための仮想的なドキュメント（デバイスシャドウ）に対して、任意のコマンド（Exec_Command）を送信することに成功した。

標的となった掃除機のファームウェア内に存在する管理デーモン「appd」は、このコマンドを受け取ると、制限文字数（1000バイト）未満の任意のプログラムを実行してしまう。tokay0氏はこの仕組みを悪用し、標的デバイス上でルート権限の遠隔操作シェル（リバースシェル）を起動させ、掃除機を遠隔で走行させながら、内蔵カメラのリアルタイム映像を取得することに成功した。また、接続されているWi-Fiのパスワードも平文（暗号化されていないテキスト）で読み取ることが可能だったという。

すべてのShark掃除機から証明書が抽出できるわけではなく、比較的新しいモデルであるAV1102ARUSなどは証明書のアクセス権限が適切に制限されているため、「万能キー」として使うことはできない。しかし、コマンドを実行する仕組み自体は新しい機種にも残っているため、古い機種の証明書さえあれば、新しい機種であっても乗っ取りの標的になってしまうという。

影響範囲とメーカーの対応

tokay0氏が1つのAWSリージョンを24時間監視して収集したデータによると、少なくとも1,517,605台のユニークなShark掃除機のシリアル番号が観測された。このうち、全体の約44％にあたる673,816台のデバイスが、コマンド実行プログラムが動作していることを示す応答（Exec_Response）を返したという。実際の脆弱なデバイスの総数はさらに多い可能性があると研究者は指摘している。

この問題のタイムラインについて、tokay0氏は2026年3月1日にSharkNinja社に初期連絡を取り、3月11日に脆弱性の詳細を送付した。同社は翌日に受信を確認し、4月27日には調査中であると回答した。さらに7月3日には、同月の10日までに修正完了の予定日を連絡すると伝えていたが、期日までに連絡はなかったという。その後、研究者は7月13日に情報を一般公開した。メーカー側は本件の深刻度を低く評価しており、脆弱性識別番号である「CVE」の割り当てが適切かどうかも疑問視していたとされる。

SharkNinja社が公開している脆弱性開示ポリシーでは、報告された脆弱性が解決するまで定期的にアップデートを提供することを約束しているほか、研究者に対しては同社が修正を確認するか開示を許可するまで公表を控えるよう求めている。しかし、記事執筆時点でSharkNinja社からこの件に関する公式発表は行われておらず、セキュリティメディアのThe Hacker Newsがパッチの適用状況などについて同社にコメントを求めているが、返答は得られていない。

補足

IoT機器におけるクラウド設定の不備は、製品単体の物理的な頑丈さに関わらず、システム全体を危険にさらす典型的なセキュリティリスクとして知られている。