ネットワーク / ニュース

院内の防犯カメラの録画機も、院内ネットワークにつながっています。10月20日、アツミ電氣のDVRに修正ファームが出ました。

掲載 2026.10.21情報確認 2026.10.21出来事・発表 2026.10.20

10月20日、JPCERT/CCとIPAが運営するJVNに、アツミ電氣のADXシリーズDVR（防犯カメラの録画機）についての情報が載りました。同じ日にメーカーからもお知らせが出ています。保守用に用意されていた、公表されていない機能がネットワーク越しに使える状態になっており、管理者のパスワードを知られた場合に悪用されるおそれがある、という内容です。対象機種のうち7機種は修正済みのファームウェアが出ていますが、3機種は販売終了のため修正が出ません。院長先生や事務長がご自分で機械を操作する話ではありません。まず、院内の録画機がどのメーカーの何という機種で、ネットワークにつながっているかを、設置した業者に確認するところからです。

どこに、いつ出た情報か

出どころは2つあります。1つはJVN（Japan Vulnerability Notes）。JPCERT/CCとIPAが共同で運営している、脆弱性情報の公式な掲載先です。10月20日14時付でJVN#88864366として公開されました。発見して届け出たのはNICT（情報通信研究機構）のサイバーセキュリティ研究所で、公開前にメーカーと調整したうえで出されています。もう1つはアツミ電氣自身のお知らせで、同じ10月20日付です。こちらに対象機種、危険性、対処の手順がまとまっています。防犯カメラの録画機は、受付のパソコンのように毎日画面を見る機械ではないので、こういうお知らせが出ても院内で気づかれにくい種類の機器です。

対象の機種と、問題の中身

対象はADXシリーズのDVR（デジタルレコーダー）です。ファームウェアがVer.10.8.237より前のADX5004・ADX5008・ADX404・ADX3004・ADX3008・ADX3016・ADX204、それにADX1004・ADX1008・ADX2016は全バージョンが対象です。ADX5016は対象外と明記されています。問題は、保守のために用意されていた、公表されていない機能がネットワーク越しに動く状態になっていたことです。2つに分かれていて、1つは任意のOSコマンドを実行できてしまうもの（CVE-2026-97627、CVSS v4.0で8.6）、もう1つは正規でないファームウェアに書き換えられてしまうもの（CVE-2026-100737、同6.9）。どちらもJVNの評価では、悪用するには管理者権限でのログインが必要とされています。つまり、いきなり誰でも触れるという話ではなく、管理者のパスワードが知られている、あるいは初期設定のまま使われている場合に効いてくる問題です。メーカーは、悪用された場合に起こりうることとして、録画データの改ざん・破壊・漏えい、不正なプログラムの感染、その録画機を踏み台にして他の機器が攻撃されること、録画が止まることを挙げています。

機種によって、やることが違います

更新できる機種とできない機種に分かれます。ADX5004・ADX5008・ADX404・ADX3004・ADX3008・ADX3016・ADX204は、修正されたVer.10.8.237へのファームウェア更新が用意されています。メーカーのお知らせに、ダウンロード先と手順書が置かれています。注意したいのは、更新後は初期パスワードや簡単なパスワードが使えなくなり、新しく強いパスワードを決め直す必要がある、と書かれている点です。更新作業そのものより、新しいパスワードを誰がどこに控えるかのほうが院内では問題になります。一方、ADX1004・ADX1008・ADX2016は販売終了で、修正ファームウェアは提供されません。メーカーはこの3機種について、遠隔から見る必要がなければLANケーブルを抜いてネットワークにつながない運用にすること、遠隔から見る必要があるなら対策済みのADX5000シリーズへの入れ替えを検討することを案内しています。ただし、LANケーブルを抜くかどうかは院内だけで決めない方が安全です。録画機が警備会社の遠隔監視や、別の建物からの確認とつながっていることがあり、抜いた結果そちらが止まることがあります。設置した業者に、いまどういうつなぎ方になっているかを先に確認してください。

院内で先にやっておくこと

やることは機械の操作ではなく、確認です。1つ目は棚卸しです。待合室や駐車場のカメラの録画機が、どのメーカーの何という機種なのか、院内のどこに置いてあるのかを、保守の書類か設置業者への電話で確かめます。今回のお知らせはアツミ電氣の製品のものですが、どのメーカーの録画機でも同じようなお知らせが出ることはあります。2つ目は、その録画機がネットワークにつながっているかどうかです。LANケーブルが刺さっているか、スマートフォンから映像を見られるようになっているかが目安になります。3つ目はパスワードです。設置したときのまま、誰でも想像できるものになっていないかを業者に確認してください。今回の問題も、管理者のパスワードが守られているかどうかが分かれ目になっています。なお、録画機の映像には待合室の様子が含まれますので、確認の作業も含めて院内で扱う範囲を決めておくと安心です。カメラやネットワーク機器の棚卸し、更新の段取りについては、アイジェイネットでもご相談を承っています。

出典・確認元

情報は確認日時点の内容です。最新の対象製品・手順・条件はリンク先でご確認ください。

編集方針・訂正について

環境によって必要な対応は異なります。
自分の環境について相談する ↗

← 一覧に戻る