ハードコードされた認証情報は、買った時点で決まっている｜生産終了機器に修正が来ない例

結論：この種の問題は、運用では解けない

2026年8月25日、JPCERT/CCは古野電気製の簡易型船舶自動識別装置（AIS）FA-50について、ハードコードされた認証情報の使用および認証の欠如という2件の脆弱性を公表しました（JVNVU#95422936）。原典は米国CISAのICSアドバイザリ ICSA-26-237-07です。

この記事は船舶機器の解説ではありません。「機器に埋め込まれた認証情報」という問題の性質と、それを避けるために調達の段階でできることを扱います。同じ構造は、工場の制御機器、監視カメラ、ネットワーク機器、計測器、入退室管理装置など、企業が買って設置するあらゆる機器で起こりえます。

対象読者は、設備・機器を伴うシステム投資を判断する中堅企業の経営者、工場・現場の責任者、兼任情シスです。

公表内容

JVNは、CVSS評価の前提として「認証情報を知っており当該機器が接続されたネットワークにアクセスできる第三者が、認証情報を使って設定画面を操作して識別番号の改ざんなどを行う状況を想定しています」と説明しています。

そして対策の欄には、次のように記載されています。開発者によると当該製品は2020年10月に生産終了しておりソフトウェアの更新予定はないため、製品ユーザーに対して次の対策の適用を推奨する、として、「正当な利用者以外にアクセスされないよう、当該製品を設置した船舶は適切に施錠などの管理をする」「当該製品は、直接インターネットに接続しない」というワークアラウンドと、「後継製品への更新を検討する」ことが挙げられています。開発者によれば、後継製品は本脆弱性の影響を受けないとのことです。

「ハードコード」がなぜ運用で解けないのか

パスワードが漏れたのであれば、変更すれば対処できます。設定が甘いのであれば、締めれば済みます。ハードコードされた認証情報は、どちらでもありません。

ハードコードとは、機器のソフトウェアの中に認証情報が固定的に埋め込まれている状態を指します。CWE-798は、外部から機器へ入る側（インバウンド）の典型例について、同じ認証情報がすべての導入環境で使われ、通常は管理者が変更または無効化できない、と説明しています。この形にあてはまる場合、その情報が一度公になれば、同型機が同じ状態に置かれます。なお、FA-50について変更可否がどうなっているかは、JVNの記載からは読み取れません。

利用者側の打ち手は、次の3つに整理できます。

1. 機器のソフトウェアが更新され、埋め込まれた情報が使えなくなる
2. その機器に到達できる範囲を絞る（ネットワークからの分離、設置場所の施錠）
3. 機器そのものを、影響を受けない製品へ置き換える、あるいは使用をやめる

今回のケースでは、開発者が更新予定はないとしており、1は見込めません。開発者が推奨しているのは、2にあたる「正当な利用者以外にアクセスされないよう、当該製品を設置した船舶を適切に施錠などで管理する」「直接インターネットに接続しない」と、3にあたる「後継製品への更新を検討する」の両方です。開発者によれば、後継製品（FA-60）は本脆弱性の影響を受けないとのことです。

ここで押さえておきたいのは、2が緩和策であって根本の解決ではないという点です。到達を防ぐ仕組みは、人が設定を変えたり、ネットワーク構成が変わったりすれば崩れます。崩れたときに、機器の側で受け止めてくれる仕組みは期待できません。更新の提供が見込めない以上、恒久的な解決は3の方向に寄っていきます。

「読まれる」より「書き換えられる」ほうが重い

もう1つ、この事例から読み取っておきたい点があります。2件のCVSS内訳は次のとおりで、いずれも機密性への影響はNone、完全性への影響がHighです。

つまり、情報が盗まれることではなく、設定を書き換えられることが共通の影響です。加えてCVE-2026-59769では可用性への影響もHighと評価されており、機器が使えなくなる方向の被害も想定に入ります。

JVNが例として挙げているのは識別番号の改ざんです。AISは、船舶が自船の識別情報を発信する装置なので、その番号が書き換えられれば、発信される身元の情報が本来のものと違ってしまいます。

企業が設置する機器に置き換えると、同じ構造は次のような形で現れます。

• 計測機器の校正値が書き換えられ、記録される数値が実態とずれる
• 監視カメラの録画設定が変更され、必要な時間帯が記録されていない
• 入退室管理装置の権限設定が変更され、記録に残らない出入りが可能になる
• 制御機器の閾値が変更され、異常が異常として検知されなくなる

いずれも、盗まれたわけではないので、外形上は何も起きていないように見えます。気づくのは、その記録を根拠に何かを判断しようとしたときです。そして、そのときには過去のデータの信頼性がまとめて疑わしくなります。

情報漏えいでも、影響範囲の確定は調査を進めるなかで変わっていくのが普通です。記録の改ざんの場合はそこに、「いつの時点まで遡って正しい状態に戻すか」という別の問題が加わります。改ざんされた記録を根拠に下した判断まで遡って洗い直すことになるためです。

調達の段階で聞いておく5つのこと

この種の問題は、購入後に取れる手段が限られます。修正が来ないなら、緩和策で凌ぐか、機器を入れ替えるかの二択に寄っていきます。逆に言えば、購入前であれば選べます。機器を伴う投資の見積もりを取るとき、次の5点を仕様の確認事項として入れてください。

1. 初期の認証情報は変更できるか

出荷時のIDとパスワードを、利用者側で変更できるかどうか。変更できない製品は、原則として長期利用の候補から外します。例外的に採用する場合は、ネットワーク分離、物理アクセス制限、更新期限、代替計画を条件として書面化します。

2. ソフトウェア更新はどう提供されるか

更新プログラムの提供方法、提供期間、適用に必要な作業。誰が適用するのか（自社か、ベンダーか）も含めて確認します。

3. サポート終了の予定はどうなっているか

その製品が現在ライフサイクルのどの段階にあるか。すでに後継機が出ている製品を、価格が下がったからという理由で選ぶと、購入直後にサポート終了を迎えることがあります。

4. 生産終了後、セキュリティ更新は提供されるか

3とは別の質問です。生産終了と更新提供の終了は、必ずしも同時ではありません。今回のケースのように「生産終了しており更新予定はない」となるのか、生産終了後も一定期間の更新が提供されるのかは、製品と会社によって異なります。契約や見積書の段階で、書面での回答を得ておく価値があります。

5. ネットワークにつなぐ必要が本当にあるか

ネットワークにつながっていなければ、ネットワーク経由の到達という前提そのものが成立しません。「つなげば便利だから」という理由だけでネットワークに接続している機器は、その便益と引き換えに何を引き受けているのかを確認してください。

「更新されない機器」を台帳で管理する

すでに設置されている機器について、今からできることは棚卸しです。次の3列で足ります。

2列目が「生産終了かつ更新なし」で、3列目が「インターネット直結」になっている行があれば、それが最優先の検討対象です。対応は、機器の更新、ネットワーク構成の変更、物理的なアクセス制限のいずれか、あるいは組み合わせになります。

この棚卸しは、機器の更新予算を組むための材料にもなります。「まだ動いているから」という理由で更新が先送りされている機器について、更新されないという事実を並べて示すと、判断の議論が具体的になります。

GXOに相談できること

• 設置済み機器・OT/IoT資産の棚卸しと、到達経路の整理
• 機器を伴うシステム投資における、調達仕様・要求水準の作成支援
• ネットワーク分離を含む構成の見直し
• 更新提供が終了した資産の、更新計画と予算化の整理

機器を含む資産の棚卸しを相談する

FAQ

当社は船舶機器を使っていません。関係ありますか

FA-50という製品には関係ありません。ただし、ハードコードされた認証情報、生産終了にともなう更新提供の停止、緩和策としてのネットワーク分離という構造は、企業が購入して設置する機器であれば分野を問わず起こりえます。自社が持っている機器について、同じ質問ができるかどうかが本記事の論点です。

インターネットにつないでいなければ安全ですか

ネットワーク越しに直接触られる可能性は下がります。ただし、JVNが想定として挙げているのは「認証情報を知っており当該機器が接続されたネットワークにアクセスできる第三者」です。ここでの分岐点は、その機器が接続されているネットワークへ誰が入れるかであり、インターネットとの接続の有無だけではありません。開発者が施錠による管理を推奨しているのも、船内へ立ち入られること自体が、機器の接続ネットワークへ到達する経路になりうるためと読めます。保守作業のために一時的に接続する端末や、持ち込まれた機器も同じ経路になります。

後継機に買い替えるべきですか

その判断には、対象機器の用途、設置環境、到達経路、買い替え費用、残存耐用年数が関係します。本記事の範囲では、買い替えるべきとも維持すべきとも言えません。ただし、「更新が提供されない機器である」という事実は、判断材料として明示的に扱ってください。この事実を伏せたまま延命を選ぶと、後から説明ができません。

見積もり段階でこんな質問をして、嫌がられませんか

セキュリティ更新の提供条件は、製品を長く使う側として当然確認する事項です。誠実な販売元であれば、答えられる範囲で回答します。答えられない、あるいは回答を避ける場合、その反応自体が判断材料になります。

関連記事・サービス

• OT/IoTセキュリティ
• セキュリティ要件整理
• 製造業DX
• 物流DX
• セキュリティ運用伴走

参考情報

• CWE-798 Use of Hard-coded Credentials（MITRE、2026年8月26日確認、一次情報）
• JVNVU#95422936 古野電気製FA-50（簡易型船舶自動識別装置、AIS）におけるハードコードされた認証情報使用および認証欠如の脆弱性（JPCERT/CC、2026年8月25日公開・2026年8月26日更新、2026年8月26日確認、一次情報）

本記事の主眼は、特定の機器の解説ではなく、修正が提供されない機器を抱えないための調達側の準備にあります。個々の設置環境で、緩和策がどこまで有効かは環境によって変わります。FA-50を実際に使用している場合は、古野電気株式会社および販売元の案内を確認してください。