JVNは2026年10月20日、アツミ電氣製の映像録画装置であるDVRに、非公開機能を悪用される2件の脆弱性があると公表しました。対象には最新版への更新が案内された機種と、対策ファームウェアが提供されない3機種があります。利用企業は、機種名とバージョンを確認し、更新で対応する機器とネットワーク接続を見直す機器を分ける必要があります。
管理者としてログインできるユーザーによる悪用が条件
今回の2件は、対象製品に管理者権限でログインできるユーザーが、非公開機能を悪用する問題です。ログインできない外部の第三者が、そのまま悪用できる問題として公表されたものではありません。一方で、管理者として接続できる人や委託先を把握することは、対応を進めるうえで重要です。
CVE-2026-97627では、機器のOSに任意の命令を実行させられる恐れがあります。CVE-2026-100737では、機器を制御するソフトウェアであるファームウェアを、不正なものに更新される恐れがあります。
深刻度を示す指標のCVSS v4.0基本値は、それぞれ8.6と6.9です。ただし、今回の悪用条件を整理するときは、点数だけでなく、管理者権限でのログインが必要という条件も合わせて確認してください。
更新できる7機種と、対策が提供されない3機種
最新版ファームウェアへの更新が案内されているのは、次の7機種です。いずれも、対象として示されているのはVer.10.8.237より前です。
- ADX5004、ADX5008、ADX404
- ADX3004、ADX3008、ADX3016、ADX204
一方、ADX1004、ADX1008、ADX2016は、すべてのバージョンが対象です。この3機種については、販売終了から年数が経過しているため、対策ファームウェアを提供しないとしています。
アツミ電氣は、対策を提供しない3機種をネットワークに接続せず運用することを推奨しています。遠隔接続が必要な場合は、後続製品への乗り換えなどを案内しています。したがって、この3機種は更新作業を待つのではなく、遠隔接続が業務に必要かどうかを利用部門と確認することが対応の分かれ目になります。
影響する会社・しない会社
- 影響する: ADX5004、ADX5008、ADX404、ADX3004、ADX3008、ADX3016、ADX204を、Ver.10.8.237より前で使っている会社です。対象機器を特定し、最新版への更新を手配する必要があります。
- 影響する: ADX1004、ADX1008、ADX2016を使っている会社です。全バージョンが対象で、対策更新はありません。特に遠隔接続が必要な会社は、後続製品への乗り換えなどを検討する必要があります。
- 影響しない: 更新対象の7機種をVer.10.8.237以降で使っている会社は、今回示された対象バージョンには該当しません。ただし、これは機器全体の安全性を保証するものではありません。
情シスが今日やること
以下は、今回の公表内容を受けて進めたい確認手順です。
- 今日、機種名と版を照合する。 機器台帳や保守記録を確認し、不明なものは設置場所の担当者や保守委託先に照会してください。機種名、現在のバージョン、設置場所、保守窓口を一覧にし、「更新対象」「対策提供なし」「確認待ち」に分けます。管理画面の具体的な確認箇所は、今回の資料にはありません。
- 更新対象は、保守窓口に作業を依頼する。 該当する7機種で旧版を使っている場合は、最新版の入手方法と更新手順を保守担当者に確認します。利用部門には更新対象であることを伝え、作業日程と作業後の動作確認の担当を決めてください。
- 対策のない3機種は、接続の必要性を確認する。 今日中に利用部門へ、遠隔接続を使っているか、継続が必要かを照会します。ネットワーク未接続での運用を基本に調整し、遠隔接続が必要なら、保守窓口に後続製品への乗り換えを相談してください。
- 管理者として接続できる人を確認する。 社内担当者と保守委託先に、管理者権限でログインできる利用者を確認します。機種・版・接続状況の一覧とともに対応責任者へ共有し、更新または接続見直しが終わるまで、未対応機器を追跡できるようにしてください。
