結論：問題はCVSSの数値ではなく、「その機器の管理者が誰か答えられない」ことにある
2026年7月23日、JVN（Japan Vulnerability Notes）で、リコー製プリンターおよび複合機のSSH通信機能におけるアクセス制御不備の脆弱性が公表されました。識別子はCVE-2026-63226、分類はCWE-923です。
内容を平たく言えば、複合機に備わっているSSHという通信機能で、ポート転送（別の機器への中継）の宛先が適切に制限されていないというものです。その結果、条件によっては複合機を踏み台にして、社内ネットワークにある別の機器へアクセスされる可能性があります。深刻度はCVSS v4.0で基本値6.9、v3.0で5.8と、いわゆる「緊急」ではありません。対策はファームウェアの更新で、リコーから修正版が提供されています。
数値だけを見れば、多くの企業は「中程度なら急がなくてよい」と判断するでしょう。その判断自体は間違っていません。本記事が問題にしたいのは別のことです。
この記事を読んだあと、自社の複合機について次の3つを即答できるでしょうか。
- 何台あり、それぞれどのネットワークにつながっているか。
- 管理者パスワードを誰が知っていて、初期設定のままではないか。
- ファームウェアを最後に更新したのはいつで、それは誰の仕事か。
この3つに答えられない状態こそが、CVSS 6.9より重い問題です。なぜなら、次に「緊急」の脆弱性が出たときも、まったく同じところで止まるからです。
EMERGENCY RESPONSE
この脆弱性、貴社システムは影響を受けますか？
影響範囲の一次評価を無料で実施。致命的脆弱性は24時間以内にアラートし、パッチ適用・恒久対応まで伴走します。
3行サマリー（先に結論）
- リコー製プリンター・複合機のSSHポート転送に制限不備（CVE-2026-63226、CVSS v4.0 6.9）。複合機を経由して社内の別機器へアクセスされる可能性がある。対策はファームウェア更新。
- 深刻度は中程度だが、多くの中堅企業では複合機がIT資産台帳に載っておらず、更新の責任者も決まっていない。
- リース契約・保守契約に「ファームウェア更新」が含まれているケースは多くない。この機会に、オフィス機器全般の棚卸しと責任分界の確認を行うべき。
要点表：今回の脆弱性の概要
横にスクロールして確認できます
| 項目 | 内容 |
|---|---|
| 識別子 | CVE-2026-63226（JVN#32082029、JVNDB-2026-000102） |
| 公表日 | 2026年7月23日 |
| 対象 | SSH機能を実装したリコー製プリンター・複合機（複数機種） |
| 脆弱性の種類 | アクセス制御の不備（CWE-923） |
| 内容 | SSHのポート転送先が適切に制限されておらず、社内ネットワーク上の別ノードへ到達され得る |
| 深刻度 | CVSS v4.0 基本値6.9／v3.0 基本値5.8 |
| 対策 | 適切なポート転送制限を組み込んだ修正版ファームウェアへの更新 |
| 報告者 | Pathfynder.io の研究者 |
※対象機種の正確な一覧と修正ファームウェアの版数は、リコーの製品セキュリティ情報ページで必ずご確認ください。
複合機は「IT機器」として扱われていない
複合機は不思議な立ち位置にあります。ネットワークにつながり、OSが動き、ユーザー認証があり、ストレージを持ち、外部と通信する。技術的には完全にコンピュータです。にもかかわらず、多くの企業で複合機は「事務機」として扱われ、パソコンやサーバとは別の管理体系に置かれています。
具体的には、こういう状態です。
- 導入・入替は総務部門が決め、情シスは関与しない。
- リース契約で入っており、5年から7年は同じ機器が使われる。
- 販社が定期的に来てトナー交換や部品交換をするが、ファームウェアの話は出ない。
- 設定は導入時に販社が行い、以後は誰も触っていない。
- 管理者パスワードは、導入時のまま、あるいは販社しか知らない。
一つひとつは自然な運用です。しかし合計すると、「ネットワークにつながったコンピュータが、誰の管理下にもないまま数年間動き続けている」という状態が生まれます。
しかも複合機は、社内ネットワークの中で恵まれた位置にいます。多くの場合、業務用のセグメントに直接つながり、通信の制限も緩く設定されています。「印刷できなくなると困る」という理由で、制限を厳しくしにくいためです。
攻撃者の視点で見れば、複合機は魅力的な足がかりです。誰も見ていない、更新されていない、ネットワークの内側にいて、制限が緩い。今回の脆弱性が示しているのは、まさにこの構図です。
複合機に何が溜まっているか
もう一つ、経営者が把握しておくべき点があります。複合機の中には情報が残ります。
- スキャンした文書のデータ：内蔵ストレージに一時的に、または設定によっては継続的に保存されます。
- アドレス帳：スキャンデータの送信先として登録されたメールアドレス、共有フォルダのパス、そのアクセス用の認証情報。
- 親展ボックス／文書ボックス：印刷を保留した文書がそのまま残っていることがあります。
- ジョブ履歴：誰が何を印刷・スキャンしたかの記録。
- ネットワーク設定：共有フォルダへの接続に使うアカウント情報が保存されている場合があります。
最後の項目は特に重要です。スキャンしたデータをファイルサーバの共有フォルダに保存する設定にしている場合、複合機はそのフォルダへのアクセス権を持つアカウント情報を保持しています。複合機が侵害されれば、その認証情報も一緒に取られる可能性があります。
つまり複合機は、単なる「踏み台になり得る機器」ではなく、それ自体が情報の集積点です。
今日からできる棚卸し：オフィス機器の一覧を作る
まずは対象を洗い出します。難しい作業ではありません。総務部門とリース契約書があれば、半日で形になります。
手順1：ネットワークにつながっている機器を挙げる
複合機・プリンターから始めて、次の機器も含めてください。いずれも「IT資産台帳に載っていない、しかしネットワークにつながっているコンピュータ」の典型です。
- 複合機・プリンター・スキャナ
- NAS（ネットワーク接続型ストレージ）
- 監視カメラ・録画装置
- 入退室管理システム
- 会議室のディスプレイ・Web会議端末
- 無線LANアクセスポイント
- ルータ・スイッチ
- 勤怠打刻端末
- デジタルサイネージ
- 空調・照明の制御装置
手順2：各機器について次を記録する
横にスクロールして確認できます
| 記録項目 | 確認方法 |
|---|---|
| メーカー・機種名 | 機器本体のラベル、リース契約書 |
| 設置場所・台数 | 現物確認 |
| 導入時期・契約形態 | リース契約書、購入時の書類 |
| 契約先（販社） | 契約書、保守請求書 |
| ファームウェアの版数 | 管理画面、または販社に照会 |
| 最終更新日 | 販社に照会 |
| 管理者パスワード | 誰が知っているか。初期値のままでないか |
| ネットワーク上の位置 | どのセグメントか、インターネットから到達可能か |
| 更新の責任者 | 自社か、販社か、契約上明記されているか |
手順3：埋まらなかった行を優先課題にする
すべてが埋まらないのが普通です。埋まらなかった項目こそが、この作業の成果です。特に「更新の責任者」が空欄になる機器が多いはずで、そこが最初に手を打つべき対象です。
リース契約に「ファームウェア更新」は書かれていない
複合機はリース契約で導入されるのが一般的です。そこで確認すべきは、契約書に書かれている保守の範囲です。
多くのリース・保守契約に含まれているのは、次のようなものです。
- 定期点検、消耗品の供給、故障時の修理・部品交換。
- 印刷品質の維持に関わる調整。
一方、次の項目は明示されていないことが多いです。
- セキュリティ脆弱性が公表された際の通知。
- ファームウェアの定期的な更新。
- 設定の見直し（不要な機能の停止、アクセス制限の設定）。
- 廃棄・返却時のデータ消去の証明。
契約に書かれていないこと自体は、不当ではありません。問題は、書かれていないことを発注側が認識していない点です。「保守契約を結んでいるから、当然やってくれているはず」という前提が、実務上の空白を生みます。
最後の「廃棄・返却時のデータ消去」は、見落とされがちですが重要です。リース満了で返却した複合機の内蔵ストレージに、スキャン文書やアドレス帳が残っていたらどうなるか。返却時のデータ消去手順と、その証明書の発行が契約に含まれているかを、この機会に確認してください。
販社に今日送る質問文
そのまま使える形にしておきます。
お世話になっております。複合機・プリンターに関して、以下をご確認いただけますでしょうか。
2026年7月23日にJVNで公表された、SSHのアクセス制御不備の脆弱性（CVE-2026-63226）について確認しています。
- 弊社に設置いただいている機種は、本脆弱性の影響を受けますか。影響を受ける場合、対応するファームウェアの提供状況と適用の予定をお教えください。
- 現在のファームウェア版数と、最後に更新した日付をご教示ください。
- 弊社との保守契約に、脆弱性公表時の通知およびファームウェア更新の作業は含まれていますか。含まれていない場合、別途の対応方法と費用をお教えください。
- 管理者アカウントのパスワードは初期値から変更されていますか。管理画面へのアクセス制限（接続元の限定）は設定されていますか。
- リース満了・返却時の内蔵ストレージのデータ消去手順と、消去証明書の発行有無をお教えください。
お手数ですが、期日を区切ってのご回答をお願いいたします。
3番目と5番目を必ず含めてください。1・2だけを聞くと今回の脆弱性の話で終わり、構造的な空白は残ったままになります。
複合機の設定で、確認しておくべき項目
ファームウェアの更新とは別に、設定で下げられるリスクがあります。管理画面を開ける担当者がいれば、その日のうちに確認できる項目を挙げます。
設定1：管理者パスワード 初期値のままになっていないか。メーカー共通の初期パスワードは公開情報であり、変更されていなければ実質的に無防備です。変更した場合は、その保管場所（誰が知っているか）も決めてください。
設定2：使っていない通信機能 SSH、Telnet、FTP、SNMPなど、使用していない通信機能が有効になっていないか。今回の脆弱性の対象であるSSHも、遠隔保守で使っていないなら無効化が選択肢になります。ただし、販社が保守で使用している場合があるため、無効化の前に確認してください。
設定3：アドレス帳と認証情報 スキャンデータの送信先として登録されているメールアドレス、共有フォルダのパス、そのアクセスに使うアカウント。退職者の情報や、使われていない送信先が残っていないかを確認します。共有フォルダ用のアカウントに過大な権限が与えられていないかも重要な確認点です。
設定4：蓄積文書の保持設定 スキャンした文書や保留した印刷ジョブが、内蔵ストレージにどれくらいの期間残る設定になっているか。不要に長期間保持されていれば、短縮を検討します。
設定5：ストレージの暗号化 機種によっては、内蔵ストレージの暗号化機能があります。有効になっているかを確認してください。有効なら、万一機器が持ち出された場合のリスクが下がります。
設定6：操作パネルの認証 誰でも操作できる状態か、社員証や暗証番号による認証が必要な設定か。オフィスの入退室管理が緩い場合、ここは実質的なリスクになります。
設定7：ログの取得 誰が何を印刷・スキャンしたかの記録が取られているか、保存期間はどれくらいか。情報の持ち出しが疑われた場合、この記録が唯一の手がかりになります。
これらはいずれも、機器を買い替えずに改善できる項目です。「対策＝買い替え」と考える前に、設定で下げられるリスクを確認してください。
リース満了・機器の入替時にやるべきこと
複合機は数年ごとに入れ替わります。この入替のタイミングが、実は最もリスクが高い場面です。
入替時の確認1：データ消去の実施と証明
返却・廃棄される機器の内蔵ストレージには、これまでスキャンした文書、アドレス帳、ジョブ履歴が残っています。消去の手順が契約に含まれているか、消去の証明書（消去証明書、データ消去作業報告書）が発行されるかを確認してください。
「消去します」という口頭の説明だけでは、後に問題が生じたときに何も示せません。文書での証明を求めるのが原則です。
入替時の確認2：物理的な破壊が必要か
扱っている情報の機微さによっては、消去では足りず、ストレージの物理的な破壊が必要な場合があります。追加費用が発生することが多いですが、機微情報を扱う機器については検討する価値があります。
入替時の確認3：新機種での設定の再設計
入替は、設定を見直す好機です。前の機器の設定をそのまま引き継ぐと、上に挙げた課題も一緒に引き継がれます。新機種の導入時に、必要な機能だけを有効にする設計を行ってください。
入替時の確認4：ネットワーク構成の見直し
機器を入れ替えるタイミングは、ネットワーク上の配置を見直す好機でもあります。稼働中に構成を変えるのは影響が大きいですが、入替時なら比較的やりやすくなります。
誰の責任にするか——部門横断の課題として
複合機の管理が宙に浮く根本原因は、責任の所在にあります。整理すると次のようになります。
横にスクロールして確認できます
| 関係部署 | 通常の関心事 | 抜け落ちる領域 |
|---|---|---|
| 総務 | 導入・リース契約・コスト・消耗品 | セキュリティ設定、ファームウェア |
| 情シス（いる場合） | サーバ・パソコン・ネットワーク | 「事務機」は対象外という認識 |
| 経理 | リース料の支払い、資産計上 | 機器の中身 |
| 現場部署 | 使えるかどうか | 管理全般 |
どの部署も自分の職掌の範囲では合理的に動いており、その結果として誰も見ていない領域が生まれます。
解決策は単純で、「ネットワークにつながる機器はすべてIT資産として扱う」という原則を経営が決めることです。そのうえで、管理の担当を明示します。情シスがいなければ総務でも構いません。重要なのは、担当が決まっていることと、その担当が判断に必要な情報（契約範囲、サポート期限）を持っていることです。
実務的には、次の3点を決めるだけで状況は変わります。
- ネットワークにつながる機器の一覧を、誰が年1回更新するか。
- メーカーからのセキュリティ情報を、誰が受け取るか。
- 更新作業の実施を、誰が判断し、誰が手配するか。
「今すぐやる」「計画的にやる」の切り分け
すべてを一度にやろうとすると動けなくなります。優先度で分けます。
今すぐやること（今週）
- 複合機の管理者パスワードが初期値のままかを確認し、初期値なら変更する。
- 複合機の管理画面がインターネットから到達できる状態になっていないかを確認する。
- 販社に上記の質問文を送る。
近いうちにやること（1〜2ヶ月）
- オフィス機器の一覧表を作成し、更新の責任者を決める。
- 使っていない機能（今回のSSHを含む）が有効になっていないかを確認し、不要なら停止する。
- スキャンデータの送信先設定に、どのアカウント情報が保存されているかを確認する。
計画的にやること（半年〜次回更改時）
- 保守・リース契約の更新時に、脆弱性通知とファームウェア更新を契約範囲に含める交渉をする。
- 複合機を業務ネットワークから分離する構成を検討する。
- 廃棄・返却時のデータ消去を契約に明記する。
このうち「今すぐやること」の3項目は、費用がかからず、その日のうちに着手できます。
FAQ
Q1. リコー製ではないので関係ないですか。 A. 今回の指摘は他社の機器には当てはまりません。ただし、複合機がIT資産として管理対象になっていない状況は、メーカーを問わず広く見られます。棚卸しと設定確認の部分は、どのメーカーの機器でもそのまま使えます。
Q2. CVSS 6.9なら急がなくてよいですか。 A. 単体としては最優先ではありません。ただし、複合機は社内ネットワークの内側にあるため、他の侵入経路と組み合わされたときの影響が大きくなります。緊急ではないが放置してよいものでもない、という位置づけです。
Q3. SSHは使っていないので無効化すればよいですか。 A. 使用していないなら無効化は有効な対策です。ただし、遠隔保守で販社が使用している可能性があるため、無効化の前に販社へ確認してください。
Q4. ファームウェア更新で業務が止まりませんか。 A. 更新中は一時的に使用できなくなります。業務時間外や昼休みなど、短時間の停止枠を設定して実施するのが一般的です。あらかじめ停止枠を決めておくと、次回以降の判断が速くなります。
Q5. 複合機を業務ネットワークから分離すると印刷できなくなりませんか。 A. 分離といっても完全な遮断ではなく、必要な通信だけを許可する構成を意味します。印刷は通せますが、複合機から他の機器へ自由に通信できる状態は防げます。設計にはネットワークの知識が必要なので、専門家に相談してください。
Q6. 管理者パスワードを販社しか知りません。問題ですか。 A. 問題です。自社の資産の管理者権限を自社が持っていない状態になります。販社に依頼して、自社側でも管理者アカウントを持つようにしてください。あわせて、退職した担当者のアカウントが残っていないかも確認します。
Q7. どこから手を付けるのが一番効果的ですか。 A. 管理者パスワードの確認と、機器一覧の作成です。この2つがないと、次に何が起きても同じところで止まります。
GXOに相談すべきタイミング
次のいずれかに当てはまるなら、機器単位ではなく全体の整理から入ることをおすすめします。
- ネットワークにつながっている機器の全体像を把握できていない。
- 複合機・NAS・監視カメラなどの管理責任が、社内で誰にあるか決まっていない。
- 保守契約に何が含まれているかを確認したいが、読み解き方が分からない。
- 業務を止めずにネットワークを分離する構成を検討したい。
GXOは複合機やネットワーク機器を販売する立場ではないため、「買い替えましょう」に着地しない前提で状況を整理できます。機器を含めた社内システム全体の点検はセキュリティ診断・対策の相談、継続的な脆弱性情報の監視と判断の伴走はセキュリティ顧問（リテーナー）、ネットワーク構成そのものの見直しや業務システムとの接続設計はシステム開発・DXの相談、社内の現状把握から始めたい場合はDX成熟度診断が入口です。機器の一覧づくりからご一緒することも可能です。お問い合わせより、設置状況をお知らせください。
複合機は、たいてい社内で最も長く使われ、最も更新されていないコンピュータです。
参考文献
- JVN#32082029「リコー製プリンターおよび複合機のSSH通信機能におけるアクセス制御不備の脆弱性」（一次・公式）: https://jvn.jp/jp/JVN32082029/
- リコー 製品セキュリティ情報（一次・メーカー公式）: https://jp.ricoh.com/security/products/vulnerabilities/vul?id=ricoh-2026-000006
- JVN iPedia JVNDB-2026-000102（一次・脆弱性データベース）: https://jvndb.jvn.jp/
※対象機種および修正ファームウェアの版数は、メーカーの公式アナウンスを一次情報としてご確認ください。本稿の内容は2026年7月24日までに公開された情報を前提としています。
