エプソン製プリンターに失効ルート証明書｜複合機の台帳がない会社へ

結論：難しいのは直し方ではなく、対象を数えること

2026年8月20日、JVNは「複数のセイコーエプソン製プリンターおよびスキャナーにおける失効したルート証明書が残存している問題」（JVNVU#91609598、CVE-2026-73542）を公表しました。同日、セイコーエプソンも自社サイトで案内を出しています。

公表された対策は、機器のWeb Configからルート証明書を更新することです。ただし、作業の難易度や所要時間は、機種、管理者権限、保守契約、拠点数によって変わるため、「簡単な作業」と一律には言えません。多くの中小企業で対応を止めるのは、自社に対象機器が何台あるのか、どこに設置されているのか、誰が設定画面に入れるのかが分からないという点です。

本稿では、今回の公表内容を確認したうえで、こうした「サーバーでも端末でもない機器」をどう扱うかを整理します。

公表内容から確定できる事実

CVSSの二つの値が離れている点に戸惑うかもしれません。評価の版が異なると、攻撃の前提条件や影響の扱い方が変わるためです。v4.0では中程度、v3.1では低という評価になります。ただし、この数値と「悪用の報告はない」という記載だけで、自社にとっての緊急度が決まるわけではありません。その機器がどこと通信し、何を送っているかによって優先度は変わります。加えて、対応を「後で」と判断した場合、次に思い出す機会が来ない性質の作業でもあります。

なぜオフィス機器は管理から漏れるのか

サーバーやパソコンには、通常、購入時の資産登録があり、セキュリティ対策ソフトが入り、更新の仕組みがあります。一方、複合機やスキャナーは次の理由で管理の外に出やすい存在です。

第一に、購入ではなくリースや保守契約で導入されることが多く、資産台帳ではなく契約書類の側で管理されます。IT部門ではなく総務部門の担当になっている会社も少なくありません。

第二に、設置場所が分散していることです。本社の各フロア、支店、営業所、倉庫、時には代表者の自宅に置かれていることもあります。すべてを把握している人がいない状態になりやすい構造です。

第三に、ネットワークにつながっている意識が薄いことです。実際には、スキャンした文書をメールで送る、クラウドストレージへ保存する、クラウド経由で印刷するなど、外部と通信する機能を持つ機種が一般的になっています。今回の問題も、その通信が対象です。

第四に、設定画面に入れる人が限られていることです。管理者パスワードが初期値のままか、逆に誰も知らないかのどちらかになっている例をよく見ます。

一日で着手する機器台帳

資産管理の専用システムを買う必要はありません。まず一拠点または総務が把握している契約一覧から着手し、次の七列を埋めます。全拠点を一日で完成できるとは限りません。初日に「確認済み・未確認・担当者不明」を可視化し、完了日を決めることが目的です。

五番目と六番目が、今回の対応で最も効きます。管理者パスワードが分からない機器は、その時点で作業できません。保守契約に入っている機器であれば、販売会社へ依頼できる可能性があります。この二列が埋まっていれば、「自社で作業する機器」と「依頼する機器」に振り分けられます。

作成の手順は、総務が持つリース契約の一覧を起点にし、そこに情シスがネットワーク側の情報を追記する形が最も速く進みます。両部門のどちらか一方だけでは、必ず欠落が出ます。

プリンター以外の端末へ広げる台帳

今回の確認で作った台帳は、PCのプリインストールソフトやドライバーにも広げられます。OSだけを更新していても、メーカー更新ツールや管理ソフトが古ければ対象を特定できません。

今回の対応をどう進めるか

対象機種に該当した場合の進め方を、五段階で示します。

1. ベンダーの案内ページで、自社の機種が一覧に含まれるかを確認する。機種名は本体表示と設定画面の両方で確認し、シリーズ名だけで判断しない
2. 該当機器について、設定画面へ到達できるか（管理者パスワードが分かるか）を確認する
3. 到達できる機器は、提供されている手順に従って証明書を更新する。作業時に機器の再起動が必要かを事前に確認し、業務時間を避ける
4. 到達できない機器は、保守契約の窓口へ依頼する。契約がない機器は、パスワードの初期化手順を確認する
5. 実施日、実施者、対象機器を台帳へ記録する。未実施の機器は理由と予定日を書く

五番目を省略すると、半年後に同じ確認を一からやり直すことになります。記録の形式は問いません。台帳の右端に列を一つ足すだけで十分です。

「管理者パスワードが分からない」を解く順番

台帳を作ると、多くの会社で同じ壁に当たります。設定画面に入るための管理者パスワードが分からない機器が出てくることです。この状態は今回の対応を止めるだけでなく、機器が不正に設定変更されても気付けない状態でもあります。

解く順番は次のとおりです。上から試すほど、業務への影響が小さくなります。

四番目まで進む前に、初期化した場合に何を再設定する必要があるかを先に洗い出します。スキャンの送信先アドレス帳、部門別のカウンター設定、ネットワークの固定アドレスなどが該当します。控えを取らずに初期化すると、業務が止まります。

パスワードが判明した機器については、その場で二つの作業を済ませます。台帳へ保管場所を記録すること、そして初期値のままであれば変更することです。機器の管理画面が初期パスワードのまま社内ネットワークに置かれている状態は、今回の証明書の問題よりも直接的なリスクになり得ます。

印刷とスキャンの業務そのものを見直す機会にする

機器の台数が多い会社ほど、対応の手間は増えます。逆に言えば、機器の台数を減らせば、この種の作業は毎回軽くなります。

台帳を作った段階で、次の三点を確認してみてください。

一つ目は、稼働実績です。多くの複合機は、累計の印刷枚数やスキャン回数を管理画面から確認できます。設置しているのに月数十枚しか使われていない機器は、集約の候補になります。

二つ目は、スキャンの送信先です。スキャンした文書を個人のメールアドレスへ送る運用が定着している場合、書類が各自の受信箱に散らばっていることになります。共有ストレージの決められたフォルダへ保存する形へ変えると、情報の所在が把握しやすくなり、機器から外部へ直接送信する機能を止められる場合もあります。

三つ目は、紙を経由している業務の有無です。受発注、稟議、請求書の処理などで、いったん印刷して回覧し、また取り込むという流れが残っていないか。ここが電子化されれば、機器の台数だけでなく、書類の紛失リスクと作業時間も同時に減ります。

セキュリティ上の宿題として始まった作業が、業務の見直しにつながるのはこの領域の特徴です。機器の更新時期と業務の電子化を同じ計画に載せると、投資の説明がしやすくなります。

機器全体に広げる視点

今回はプリンターとスキャナーが対象でしたが、同じ性質を持つ機器はオフィスに複数あります。台帳を作る際は、次の範囲まで含めておくと、次回以降の対応が楽になります。

いずれも共通するのは、導入時に設定した後、誰も触らないまま数年が経過するという点です。そして多くの場合、提供元による更新の提供期間には終わりがあります。台帳に「導入年」と「提供元の更新提供状況」の列を足しておくと、更新が止まった機器を計画的に入れ替える判断ができます。

こうした機器を含めたIT全体の状態を俯瞰したい場合は、DX成熟度診断のような枠組みで、管理できている領域と手つかずの領域を切り分けると、投資の順番を決めやすくなります。

想定される質問

社内ネットワークにしかつながっていない機器も対象ですか。 今回の問題は、機器が送信する通信の内容が傍受され得るという性質です。外部と通信しない構成であれば、影響は限定されます。ただし、スキャンした文書をインターネット上のメールサービスや社外の宛先へ送る設定であれば、それは外部との通信です。社内のメールサーバーや閉じた宛先だけを使う構成もあるため、実際にどこへ送っているかを機器の設定で確かめてください。

深刻度が中程度なら、後回しでよいですか。 公表された評価と悪用報告の有無からは、直ちに全社を止める判断が必要な事案とは読み取れません。ただし、それは自社の環境を見ないままの一般論です。その機器が社外へ何を送っているかを確認したうえで優先度を決めてください。対応の実態は台数分の手作業であり、後回しにするほど「いつやるか決めない」状態が固定化します。台帳づくりを兼ねて、期限を切って処理するほうが結果的に早く終わります。

リース会社に任せてよいですか。 保守契約の範囲に含まれるなら、依頼するのが合理的です。含まれるかどうかを契約書で確認し、含まれない場合の費用を聞いてください。この確認自体が、次回以降の対応方針を決める材料になります。

古い機種で、更新の提供対象外でした。 その場合は、外部通信を伴う機能を停止する、接続先を限定する、あるいは機器の入れ替えを計画する、のいずれかになります。入れ替え時期の判断は、機器の残存価値ではなく、扱う情報の重要度で決めるほうが説明しやすくなります。

この記事の対象

• 複合機やスキャナーを複数拠点に設置しており、管理台帳がない会社の経営者
• 総務と情シスで機器の管理が分かれており、全体像を誰も持っていない会社の管理部門
• リース更新や機器入れ替えの時期を検討している段階の意思決定者

機器の棚卸しを続ける体制をつくるとき

機器の棚卸しは、一度作れば終わりではなく、更新され続けて初めて意味を持ちます。しかし、日常業務を抱える担当者が半期ごとに全拠点の機器を確認するのは、現実には難しい作業です。

こうした継続的な確認を外部の体制で支える形が必要であれば、セキュリティ運用伴走が適します。まず現状にどれだけの死角があるかを把握したい段階であれば、セキュリティ事業の相談から着手できます。機器だけでなく、業務システムの老朽化と合わせて刷新の計画を立てる段階であれば、レガシーシステム刷新の検討と同時に進めるほうが、投資の重複を避けられます。

拠点ごとの機器の概数だけでも整理しておいていただくと、初回で作業量の見当を付けられます。窓口はオフィス機器台帳と更新運用を相談するです。

参考資料

• JVNVU#91609598「複数のセイコーエプソン製プリンターおよびスキャナーにおける失効したルート証明書が残存している問題」（2026年8月20日） https://jvn.jp/vu/JVNVU91609598/
• セイコーエプソン「ルート証明書に関するお知らせ」 https://www.epson.jp/news/info/a-security202608.htm