JVN iPediaは2026年10月15日、日立のHitachi Ops Center Administratorに、内部アプリケーション情報が漏えいする脆弱性があると掲載しました。対象は海外販売のみの同製品で、Linux版の11.0.9-01未満です。利用企業は製品名と稼働中の版を照合し、日立の関連セキュリティ情報に沿って対応を判断する必要があります。
対象はLinux版11.0.9-01未満
脆弱性の識別子はCVE-2026-86607です。掲載情報では、影響を受ける製品と版をHitachi Ops Center AdministratorのLinux版11.0.9-01未満としています。「日立製品を使っている」というだけで、すべての環境が対象になるわけではありません。
製品は海外販売のみと記載されています。日本での利用可否や提供時期、日本語対応、日本向けの価格については、掲載情報には書かれていません。国内の情シスでも、海外拠点を含む管理対象にこの製品があるかを、まず確認する進め方が考えられます。
今回の掲載は脆弱性の情報です。実際に情報漏えいが起きたという報告として扱わないよう、社内への連絡でも区別してください。
評価は4.3、低い権限で利用者の操作なしに攻撃可能
深刻度を数値で表すCVSS v3の基本値は、ベンダ評価で4.3です。深刻度の区分は「警告」とされています。
同評価では、攻撃はネットワーク経由で、攻撃条件の複雑さは低いとされています。必要な特権レベルは低く、利用者の関与も不要です。「低い権限で攻撃できる」という条件であり、認証が不要だと読み替えないことが重要です。
日立の関連セキュリティ情報の番号はhitachi-sec-2026-138です。JVN iPediaは、ベンダ情報を確認して適切な対策を取るよう案内しています。今回の掲載情報だけでは、具体的な更新手順や回避策、対応期限は分かりません。対象版の境界だけを見て、更新方法まで決めないようにしてください。
影響する会社・しない会社
- 影響する: 海外販売のHitachi Ops Center Administratorを利用し、Linux版の11.0.9-01未満を稼働させている会社です。海外拠点の環境を管理している場合も、製品名と版の照合対象にします。
- 影響しない: Hitachi Ops Center Administratorを利用していない会社は、今回示された対象には該当しません。
- 影響しない: Linux版11.0.9-01以上は、今回掲載された影響範囲には含まれません。ただし、これは他の脆弱性もないことを示すものではありません。
情シスが今日やること
- 資産台帳で製品の有無を確認します。 2026年10月15日の確認作業として、海外拠点を含む管理対象からHitachi Ops Center Administratorを探します。台帳で分からない場合は、各拠点のIT担当者や運用委託先に、導入の有無を問い合わせてください。
- 稼働環境のOSと版を照合します。 製品の管理画面でどこを見れば版を確認できるかは、掲載情報には書かれていません。運用担当者に確認方法と稼働中の版の提示を依頼し、Linux版11.0.9-01未満かを記録します。確認できない環境は、対象外ではなく未確認として残します。
- 日立のhitachi-sec-2026-138を確認します。 対象環境が見つかったら、関連セキュリティ情報で対策内容を確認します。更新先や回避策を掲載情報から推測せず、不明点は保守窓口や運用委託先に問い合わせます。公式の対応期限は今回の掲載情報にはありません。
- 対象環境と対応予定を関係者に伝えます。 確認後、システム責任者と運用担当者へ、製品名、OS、版、CVE番号、未確認事項を共有します。対策内容が分かり次第、作業日と完了確認の担当者を決めてください。社内連絡では、脆弱性への対応と、実際の漏えい事故への対応を混同しないようにします。
