セキュリティ / ニュース

院内の「インターネットの機械」にも、弱点は見つかります。11月12日に公表されたホームルーターは、すでに直ったあとでした。

掲載 2026.11.13情報確認 2026.11.13出来事・発表 2026.11.12

2026年11月12日、脆弱性情報を集めたサイト「JVN」に、ソフトバンクのホームルーター「Airターミナル6」の弱点が公表されました（CVE-2026-101107）。Web管理画面にログインできる人が、機器の中で管理者権限の命令を実行できてしまう可能性がある、というものです。ただし、ソフトバンクは2026年9月に修正済みのファームウェアを配り終えていて、自動で適用されるため利用者側の作業は不要だと説明しています。同じ週には、自分で修正版を当てないと直らないものも公表されました。「公表された＝今すぐ何かする」ではなく、直し方が機器やソフトによって違う、という話です。

「管理画面にログインできる人が」という条件が付いています

公表されたのは、OSコマンドインジェクションという種類の弱点です。対象はAirターミナル6のファームウェア v1.01.80 およびそれ以前。深刻度はCVSS v4.0で8.6、v3.0で8.0と、数字だけ見れば高めです。ただ、評価の内訳には条件が書かれています。攻撃できるのは同じネットワークの中からで、しかもWeb管理画面にログインできる権限が要る、という前提です。裏を返せば、院内のネットワークにつながれる状態で、管理画面のIDとパスワードを知っている人、というのが条件になります。ルーターの管理パスワードが初期値のままだったり、機器の側面に貼ったままだったりすると、この条件を満たす人は自然と増えます。今回の件とは別に、院内で一度は確認しておきたいところです。

この機種については、すでに修正が配られています

JVNに載っているソフトバンクの回答は、「2026年9月に本脆弱性の修正を行ったファームウェアをリリースしており、自動的にアップデートが適用されます」というものです。インターネットにつながっていない機器についても、接続したときに自動で修正版が適用されるため、利用者側の対応は不要とされています。つまり、公表されたのは11月12日ですが、直ったのは9月だった、という順番です。この弱点は、情報セキュリティ早期警戒パートナーシップという枠組みに沿って発見者からIPAに報告され、JPCERT/CCがメーカーと調整したうえで公表されています。修正を配り終えてから公表する、という段取りが踏まれているわけです。

自動で直るものと、自分で当てないと直らないもの

やっかいなのは、すべてがこの形ではないことです。前日の11月11日には、ホームページ作成ソフト「Movable Type」のコードインジェクションの弱点が公表されました（CVE-2026-117687）。こちらは、修正版のMovable Type 8.8.7、8.0.14、Movable Type Premium 2.19 が出ていて、当てなければ直りません。開発元のシックス・アパートの告知によれば、クラウド版は提供元の側で更新済みですが、ソフトウェア版は利用者が入れ替える必要があります。10月8日に「自院のホームページが何で作られているかご存じですか」とお伝えしたのと同じソフトで、1か月ほどの間に別の弱点が公表された形です。自院のサイトを制作会社に任せているなら、更新の要否はその会社の担当になります。

院内で決めておくと楽なこと

今回のホームルーターのように、気づかないうちに直っているものもあれば、誰かが手を動かさないと直らないものもあります。見分けるのは専門の話なので、院内で抱える必要はありません。決めておきたいのは、もっと手前のことです。回線の機械やルーターの管理画面に入れるのは誰か。ホームページの更新を頼んでいるのはどこか。この2つの連絡先が受付の手の届く場所にあるだけで、「うちのは大丈夫ですか」と聞ける相手がはっきりします。なお、不安になっても、機器の設定を自分で変えたり初期化したりするのは避けてください。電子カルテやレセコン、資格確認端末が同じ回線にぶら下がっていることが多く、つながらなくなると診療そのものが止まります。症状や不安は、回線業者・保守業者にそのまま伝えるのが近道です。自院の機器とホームページの管理が今どこにあるのかを整理する作業は、アイジェイネットでもお手伝いしています。

出典・確認元

情報は確認日時点の内容です。最新の対象製品・手順・条件はリンク先でご確認ください。

編集方針・訂正について

環境によって必要な対応は異なります。
自分の環境について相談する ↗

← 一覧に戻る