JVN iPediaは2026年10月15日、日立製ディスクドライバーの複数の脆弱性を掲載しました。対象はHitachi Disk Array Driver for AIXとHitachi Disk Array Driver for Virtual I/O Serverです。製品によって対象バージョンが異なるため、利用している製品名と版をセットで確認する必要があります。
対象は2製品、バージョンの下限が異なります
影響を受ける製品とバージョンは次のとおりです。
- Hitachi Disk Array Driver for AIX：01-00～01-23
- Hitachi Disk Array Driver for Virtual I/O Server：01-04～01-23
同じ日立製ディスクドライバーでも、対象範囲は一致しません。AIX向けは01-00から、Virtual I/O Server向けは01-04からが対象です。「日立のドライバーを利用している」という情報だけでは、今回の対応が必要かを判断できません。
JVN iPediaは、ベンダ情報を確認したうえで適切な対策を取るよう案内しています。参照先は、日立のソフトウェア製品セキュリティ情報「hitachi-sec-2026-137」です。更新先のバージョンや具体的な対処方法は、今回の取材資料には記載されていません。対象版を把握した後、この参照先で確認してください。
2件ともローカル攻撃ですが、成立条件は別です
CVEは脆弱性を識別する番号、CVSSは深刻度を評価する指標です。今回掲載された2件は、ベンダ評価で必要な権限と利用者の関与の有無が異なります。
CVE-2026-82715のCVSS v3基本値は7.9で、区分は「重要」です。対象システム上でのローカル攻撃が条件で、低い特権でも攻撃が成立する可能性があります。ただし、悪用には利用者の関与が必要です。完全性と可用性、つまりデータなどが不正に変更されないことと、システムを利用できることへの影響は、いずれも高いと評価されています。
CVE-2026-86573のCVSS v3基本値は5.1で、区分は「警告」です。こちらもローカル攻撃が条件ですが、高い特権が必要です。利用者の関与は不要で、可用性への影響は高く、完全性への影響は低いと評価されています。
点数だけで対応順を決めず、誰が対象システムを操作できるか、どの程度の権限を持つかを確認することが重要です。インターネット公開の有無だけでは、今回示された攻撃条件を確認したことにはなりません。
影響する会社・しない会社
- 影響する: Hitachi Disk Array Driver for AIXの01-00～01-23を利用している会社です。まず該当する環境を洗い出す必要があります。
- 影響する: Hitachi Disk Array Driver for Virtual I/O Serverの01-04～01-23を利用している会社です。AIX向けとは別に、製品名と版を確認してください。
- 影響しない: 両製品を利用していない会社は、今回掲載された製品・版の対象には該当しません。ただし、利用製品や版が不明な環境を、対象外と扱わないようにしてください。
情シスが今日やること
- 今日の棚卸しで、製品名と版を確認します。 IT資産台帳や構成管理資料のソフトウェア欄で、両製品の記載を探します。版が記録されていなければ、運用担当者や保守委託先に確認を依頼してください。取材資料には、版を確認する管理画面やコマンドは記載されていません。
- 対象版が見つかったら、日立の対策情報を確認します。 JVN iPediaの「JVNDB-2026-037829」から参照されている「hitachi-sec-2026-137」で、該当製品の対処方法を調べます。取材資料だけで更新先を決めず、不明点は保守窓口に確認してください。
- 対応方針を決める前に、操作権限を整理します。 運用担当者に、対象環境を操作できる利用者と権限の確認を依頼します。低い特権と利用者の関与が条件となる脆弱性、高い特権で利用者の関与を要しない脆弱性を分けて共有します。
- 対処方法の確認後、業務担当者と作業時期を決めます。 対象製品・版、日立が示す対処方法、業務への影響をまとめて連絡します。今回の取材資料には対策期限の記載がないため、確認した対処内容を基に社内の担当者と期限を設定してください。
