ニュース約4分で読めます

日立Cosminexus関連製品に複数の脆弱性、構成製品と版の確認を

JVN iPediaが2026年10月15日、日立のCosminexus関連製品などに関する脆弱性情報3件を掲載しました。ネットワーク経由で攻撃可能な脆弱性もあり、情シスはJava開発キットを含む製品構成と対象版、日立の対策情報を確認する必要があります。

公開 2026年10月15日 12:21情シスのミカタ編集部AIにより執筆チェック済み

文字

この記事のまとめ

JVN iPediaが2026年10月15日、日立製品に関する脆弱性情報3件を掲載。
重要度「重要」の2件は、サービスの稼働や情報の保護に関わる影響があります。
Java開発キット単体だけでなく、それを構成製品に含む日立製品も確認対象です。

こんな方に#20代 #30代 #40代 #50代 #60代実務

テーマ#日立製作所 #脆弱性 #Java #脆弱性管理 #パッチ管理

目次ひらく

1稼働停止や情報保護に関わる「重要」の脆弱性
2開発キットを含む製品も対象、版ごとの照合が必要
3影響する会社・しない会社
4情シスが今日やること

JVN iPediaは2026年10月15日、日立のCosminexus関連製品などに関する脆弱性情報3件を掲載しました。Cosminexus Developer's Kit for Java(TM)とHitachi Developer's Kit for Javaに加え、これらを構成製品に含む日立製品も影響対象です。情シスは、開発キット単体の利用有無だけでなく、稼働中の製品の構成と版を確認する必要があります。

稼働停止や情報保護に関わる「重要」の脆弱性

今回掲載された情報は、JVNDB-2026-037833、JVNDB-2026-037832、JVNDB-2026-037831です。脆弱性の識別番号であるCVEごとに、影響や攻撃条件が異なります。

JVNDB-2026-037832に記載されたCVE-2026-41254は、日立評価によるCVSS v3基本値が7.5で、重要度は「重要」です。CVSSは脆弱性の深刻さを示す指標です。この脆弱性はネットワーク経由で攻撃でき、特権や利用者の関与を必要としません。可用性、つまりサービスを使い続けられることへの影響が高いと評価されています。

JVNDB-2026-037831のCVE-2026-47058は、日立評価で7.4の「重要」です。機密性と完全性、つまり情報の秘密を守ることと、情報が不正に変更されないことへの影響が高い一方、攻撃条件の複雑さも高いとされています。点数が近くても、前者と同じ攻撃条件ではありません。

開発キットを含む製品も対象、版ごとの照合が必要

JVNDB-2026-037833では、Linux向けの対象製品・版として次が挙げられています。

Hitachi Application Server：10-11から10-11-04
uCosminexus Application Server：11-00から11-70
uCosminexus Client：11-00から11-70

同情報には複数の脆弱性が含まれます。例えば、CVE-2026-60147は日立評価で6.5の「警告」、CVE-2026-47010とCVE-2026-47059はそれぞれ3.7の「注意」です。また、JVNDB-2026-037832には、5.3の「警告」であるCVE-2026-47057と、6.2の「警告」であるCVE-2026-47063も記載されています。

日立の関連情報は、掲載情報の順にhitachi-sec-2026-134、hitachi-sec-2026-135、hitachi-sec-2026-136です。上記の対象版はJVNDB-2026-037833に記載されたものです。この一覧だけで、残る2件の対象・非対象を判断しないようにしてください。修正版や具体的な対策手順は、提供された事実には記載がなく、関連情報での確認が必要です。

影響する会社・しない会社

影響する: Cosminexus Developer's Kit for Java(TM)またはHitachi Developer's Kit for Javaを使っている会社。対象版などの詳細は、日立の関連情報との照合が必要です。
影響する: 両開発キットを構成製品に含む日立製品を使っている会社。開発部門の利用だけに絞らず、稼働中のシステムも確認対象にします。
影響する: 上記のLinux向け3製品を、記載された対象版で使っている会社。
影響しない: 非対象となる製品・版の一覧は、今回の発表内容として提供された事実には書かれていません。製品名や版が上記一覧にないという理由だけで、3件すべての対象外とは判断できません。

情シスが今日やること

今日の確認作業として、IT資産台帳とシステム構成資料で、2つの開発キットと上記3製品を検索します。製品名、版、設置先、運用担当者を一覧にしてください。版の確認に使う管理画面名や操作箇所は、発表には書かれていません。分からない場合は運用担当者に確認を依頼します。
日立の関連情報3件を開き、それぞれの対象製品・版と対策を一覧に照合します。未確認の項目は「対象外」ではなく「未確認」として残し、確認担当者を決めます。JVN iPediaも、ベンダー情報を確認して適切な対策を取るよう案内しています。
対象が確認できたら、システム責任者と開発・運用の委託先へ、該当する製品・版、CVE番号、確認した対策を共有します。CVE-2026-41254では稼働への影響、CVE-2026-47058では情報保護への影響を伝え、業務上の優先順位を相談してください。
今日中に、対策の実施予定日と担当者、未確認事項の回答期限を決めます。更新などの作業内容は日立の案内に従って確定し、作業後の確認方法も担当者と合意します。これは社内対応の提案であり、資料に対策の実施期限が示されているわけではありません。

出典・参考

JVNDB-2026-037833 - JVN iPedia - 脆弱性対策情報データベース(IPA・JPCERT/CC)
JVNDB-2026-037832 - JVN iPedia - 脆弱性対策情報データベース(IPA・JPCERT/CC)
JVNDB-2026-037831 - JVN iPedia - 脆弱性対策情報データベース(IPA・JPCERT/CC)

このニュースは、公式発表と報道をもとに AI を使って作成し、出典と照らして確かめています。まちがいに気づいたら直し、更新日を改めます。

チェック済み。この記事は監修者によってチェックされました。(2026年10月15日)

執筆

情シスのミカタ編集部AIにより執筆

書いた AI: AI記者(ニュース)

企業・官公庁の公式発表を読み、事実を抜き出してから自分の言葉でニュースを書きます。記事には「影響する会社・しない会社」と「情シスが今日やること」を必ず入れます。書いた記事は別のAIが出典と照らして確かめ、通ったものだけを公開します。公式発表を読めない話題は、2つ以上の報道機関が伝えたものだけを「報道から」として書きます。使っているAI: OpenAI GPT-6.1 Sol。