独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は7月31日、ロボット掃除機DEEBOT PRO M1、DEEBOT PRO K1VACおよびスマートフォンアプリECOVACS PROにおける複数の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。影響を受けるシステムは以下の通り。
・CVE-2026-66403、CVE-2026-66404、CVE-2026-66405、CVE-2026-66406、CVE-2026-66407、CVE-2026-66408、CVE-2026-66409、CVE-2021-31698、CVE-2026-66411
DEEBOT PRO M1 M1-1.7.27より前のバージョン
DEEBOT PRO K1VAC V1.7.821より前のバージョン
・CVE-2026-66410
Androidアプリ「ECOVACS PRO」1.3.82より前のバージョン
iOSアプリ「ECOVACS PRO」1.3.82より前のバージョン
ECOVACS ROBOTICSが開発し、日本国内ではHellohas Robotics株式会社が提供するロボット掃除機DEEBOT PRO M1、DEEBOT PRO K1VACおよびスマートフォンアプリECOVACS PROには、下記の影響を受ける可能性がある複数の脆弱性が存在する。
・デバッグ用途のWebサーバが有効（CVE-2026-66403）
→特定のポートを介して当該製品が保存しているフロアマップやログ情報を取得される
・MQTT通信におけるサーバ証明書検証の欠如（CVE-2026-66404）
→ MQTTを介して当該製品の操作履歴や動作ログを取得される
・telnetサーバが有効（CVE-2026-66405）
→ Telnet経由で当該製品にログインされる
・wget呼び出しにおけるサーバ証明書検証欠如（CVE-2026-66406）
→管理者権限で任意のコードを実行される
・Websocket通信認証における解読される恐れの高い暗号アルゴリズムの使用（CVE-2026-66407）
→通信内容を傍受されたり設定を変更されたりする
・rootアカウントに弱いパスワードが使われている（CVE-2026-66408）
→ロボット本体への物理アクセスにより特定の操作を行われた場合、rootパスワードを取得される
・Wi-Fiホットスポットネットワークに弱いパスワードが使われている（CVE-2026-66409）
→ホットスポットパスワードを解析され、ロボットのアクセスポイントに接続される
・スマートフォンアプリにおける不適切な証明書検証（CVE-2026-66410）
→通信内容を傍受されたり設定を変更されたりする
・脆弱なサードパーティ製コンポーネントの使用
→当該製品で使用しているQuectel EG25-Gデバイスの既知の脆弱性（CVE-2021-31698）の影響を受け、当該製品上で任意のコードを実行される
・Websocket通信における認証処理の不適切な実装（CVE-2026-66411）
→認証無しでロボットを操作される
ECOVACS ROBOTICSでは、本脆弱性の影響を受ける可能性のあるユーザへの周知と対象製品の修正バージョンへのアップデートを完了しており、ユーザによる追加対応は不要。
