ヤマハのUTM機器「UTX200／UTX100」に、遠隔から悪用されうる脆弱性。10月28日に対策済みファームウェアの情報が出ました。ヤマハのルーターは対象外です。
院内のネットワークの出入口に置く機器の話です。ヤマハのUTMアプライアンス「UTX200」「UTX100」に、VPN機能に関する脆弱性があることが9月16日に公表され、10月28日に対策済みファームウェアの情報が追記されました。悪用されると、遠隔の第三者に不正にプログラムを実行される可能性がある、とされています。ただし対象はこの2機種だけで、ヤマハのルーター、ファイアウォール、無線LANアクセスポイント、L2／L3スイッチは影響を受けない、とメーカーが明記しています。まず自院の機器がどれに当たるかを確かめるところからです。
何が公表されたのか
ヤマハのネットワーク機器のセキュリティーに関するFAQに、「ヤマハ UTX200/UTX100 のVPNの脆弱性」という項目が出ています。公開は2026年9月16日、10月28日の更新で「対策済ファームウェアに関する情報を追記した」とあります。番号はCVE-2026-85102とCVE-2026-85103の2件で、もともとはUTX200／UTX100の供給元であるCheck Point社が公表した、リモートアクセスVPNとサイト間VPNに関するものだ、と書かれています。悪用された場合、遠隔の第三者により不正に任意のプログラムを実行される可能性がある、という表現です。この2件にはJVN番号（国内で脆弱性に振られる番号）が割り当てられていない、ともFAQに明記されています。
自院が対象かどうかは、機器の種類で分かれます
ここがいちばん大事なところです。FAQには機種ごとの該非表が載っていて、該当するのは「UTMアプライアンス」、つまりUTX200とUTX100だけです。ヤマハのルーターおよびファイアウォール、無線LANアクセスポイント、L2／L3スイッチは影響を受けない、とそれぞれ別の項目で明記されています。クリニックで使われているヤマハ製品はルーターやスイッチであることが多く、その場合は今回の対象外です。さらに、UTX200／UTX100を使っていても、ブリッジモードで使っている場合は影響を受けない、と書かれています。VPNに関する脆弱性だからです。確かめ方は、機器の正面や背面に書かれた型番を見るのがいちばん早いです。触れる場所にない場合は、保守をお願いしている先に「UTX200かUTX100を使っていますか」と聞いてください。
対象だった場合に、保守の窓口へ伝えること
対象だった場合、メーカーが案内しているのは最新ファームウェアへの更新です。UTX200は、該当がR81.10.17（996004914）以前、対策済みがR81.10.17（996004968）と示されています。UTX100は表に機種名はあるもののバージョンの記載がなく、今回の確認時点では分かりませんでしたので、確認が必要です。手順にも注意書きがあり、R80.20.40より前のファームウェアから直接更新しようとするとエラーになるため、いったんR80.20.40を経由してください、とされています。回避策として、Web画面の［ホーム］－［概要］－［セキュリティダッシュボード］で「リモートアクセス」と「サイト間VPN」をオフにする手順も示されていますが、これは外部から院内につなぐ仕組みや拠点間の接続を止めることと同じです。在宅から院内を見ている、分院とつないでいる、という使い方なら業務が止まります。FAQにも、VPN機能を使っている場合はUTXサポートサービスに問い合わせるように、と書かれています。ご自身で設定を変えず、この段落の内容をそのまま保守の窓口に伝えて日程を相談してください。
急ぐ理由と、ふだんの備え
背景として、JPCERT/CCが10月8日に公開し10月23日に更新した注意喚起では、国内の組織で不正アクセスが相次いでいることが示されています。求められているのは特別なことではなく、既知の脆弱性の影響を受けるバージョンなら修正済みのアップデートを適用すること、業務上必要のないサービスや機能（管理機能など）がインターネットに公開されているなら公開を停止すること、の2点です。素早く動けるかどうかは、自院の機器の型番とファームウェアの版、保守の連絡先をすぐ出せるかで決まります。機器を一律に初期化したり、設定をご自身で変えたりする必要はありません。見分け方や業者への聞き方でお困りでしたら、アイジェイネットでもご相談を承っています。
出典・確認元
- ヤマハ：RTシリーズのセキュリティーに関するFAQ「ヤマハ UTX200/UTX100 のVPNの脆弱性」について（2026年9月16日公開、2026年10月28日「対策済ファームウェアに関する情報を追記」。該当がUTMアプライアンスUTX200／UTX100のみで、ルーター・ファイアウォール・無線LANアクセスポイント・L2／L3スイッチは影響を受けないこと、ブリッジモードでは影響を受けないこと、CVE-2026-85102・CVE-2026-85103でJVN番号がないこと、UTX200の該当がR81.10.17（996004914）以前・対策済みがR81.10.17（996004968）であること、UTX100はバージョンの記載がないこと、R80.20.40より前からはR80.20.40を経由する必要があること、回避策がセキュリティダッシュボードでの「リモートアクセス」「サイト間VPN」のオフであること、VPN利用時はUTXサポートサービスへ問い合わせることを確認） ↗
- JPCERT/CC：直近で相次いでいる国内組織における不正アクセスに関する注意喚起（2026年10月8日公開、2026年10月23日更新。既知の脆弱性の影響を受けるバージョンで運用している場合は修正済みのアップデートを適用すること、業務上必要のないサービスや機能（管理機能など）がインターネットに公開されている場合は公開を停止することが求められていることを確認） ↗
情報は確認日時点の内容です。最新の対象製品・手順・条件はリンク先でご確認ください。
編集方針・訂正について自分の環境について相談する ↗