リコー複合機のSSHに脆弱性、内部への踏み台の恐れ

【更新 2026-07-26】本記事を見直しました。CVE番号・JVN番号・公表日・CVSS値・報告者・参照リンクは一次情報（JVN#32082029／JVNDB-2026-000102／NVD）と一致し、公表以降の改訂や悪用報告も確認されませんでした。事実の修正はありませんが、修正版ファームウェアの提供状況を一次情報で確認できなかったため、該当箇所に要確認の注記を追加しています。

2026年7月23日、リコー製プリンターおよび複合機（MFP）のSSH通信機能に、アクセス制御不備の脆弱性（CVE-2026-63226 / JVN#32082029）が公表されました。SSHのポートフォワーディング先が制限されておらず、複合機を経由して社内ネットワークの他の機器へ接続される恐れがあります。

CVSS基本値はv4.0で6.9、v3.0で5.8と「警告」レベルですが、影響の性質は数値の印象より厄介です。SSH機能を有効にしている環境では、まず設定の確認と最新ファームウェアへの更新を検討してください。

この記事でわかること

• CVE-2026-63226で何が起きるのか（複合機が「踏み台」になる仕組み）
• CVSSが中程度でも軽視できない理由
• 自社で今すぐ確認すべき3つのポイント
• 複合機・プリンターというOA機器を脆弱性管理に組み込む考え方

何が起きたのか

JPCERT/CCとIPAが運営するJVNの公表によると、リコー製プリンター・複合機のうちSSH通信機能が実装されている機種で、SSHのポートフォワーディング先が制限されていませんでした。脆弱性の種別はCWE-923（意図したエンドポイントへの通信チャネルの制限不備）です。

SSHのポートフォワーディング（ポート転送）とは、SSH接続を「トンネル」として使い、接続先の機器を中継して別の宛先へ通信を届ける機能です。本来は管理用途の便利機能ですが、転送先の制限がないと、複合機にSSHで接続できる者が、その複合機を中継点にしてLAN上の任意のノードへ到達できることになります。

報告者はPathfynder.io社のBrandon Roach氏、Bryan Clements氏です。

脆弱性の概要

なお、対象機種の一覧はJVNやNVDには掲載されておらず、リコーの脆弱性情報ページ（ricoh-2026-000006）を参照する形になっています。自社の導入機種が対象かどうかは、このページで型番を突き合わせて確認してください。

なぜCVSSが中程度でも軽視できないのか

結論から言うと、この脆弱性は「複合機そのものが壊れないから点数が低い」タイプだからです。

CVSS v4.0のベクタを見ると、複合機自身への影響を示すVC/VI/VA（機密性・完全性・可用性）はすべて「N（なし）」です。一方で、後続システムへの影響を示すSC（Subsequent System Confidentiality）が「L」になっています。v3.0でもScopeが「C（変更あり）」＝影響が当該機器の外へ及ぶ、と評価されています。

つまり評価上は「複合機は無傷。ただし、その先が危ない」という構造です。CVSS基本値は単体の機器への影響を測る指標なので、踏み台化（ラテラルムーブメントの起点）という被害の質は数値に反映されにくいという点に注意が必要です。

攻撃者にとって重要なのは、複合機の中身を壊すことではなく、そこから先へ行けることです。社内ネットワークがフラットに近い構成であれば、複合機1台が転送の中継点になるだけで、到達できる範囲は一気に広がります。侵入後の横移動の考え方はラテラルムーブメント（横展開）とは？侵入後の脅威を解説で整理しています。

実際に悪用されるための前提は？

この脆弱性が実際に使われるには、まず対象の複合機にSSHで接続できることが前提になります。JVNも「SSH接続の設定をしている場合」と条件を付けています。したがって、SSHを使っていない環境の緊急度は相対的に下がります。

ただし、SSHが既定で有効かどうか、どのような資格情報で接続できるのかといった詳細は、本記事執筆時点の公開情報からは確認できませんでした。「うちは使っていないはず」で終わらせず、実機の設定を確認するのが確実です。現時点で悪用を確認したという公表も見当たりませんが、これも「まだ報告がない」という以上の意味は持ちません。

想定されるシナリオ

被害の形として現実的に考えられるのは、次のような流れです。

• 内部からの横展開：フィッシング等で社内の1台を取られた攻撃者が、次の足場として複合機を利用する。複合機はEDRが入らないため、通信の中継点として使われても端末側のログには残りにくい。
• セグメント間の越境：複合機が複数セグメントから見える位置（共用フロアなど）に置かれている場合、分離したはずのセグメント間を橋渡ししてしまう。
• 外部公開されている場合：グローバルIPが振られている、あるいはポート転送で外から届く状態だと、外部から直接この経路を試される。設計として最も避けるべき状態です。

複合機やIoT機器が攻撃インフラの一部として使われる構図は、レジデンシャルプロキシとは IoT踏み台化と情シスの備えでも扱ったテーマです。

現場目線の課題：複合機は台帳から漏れやすい

正直なところ、複合機やプリンターは脆弱性管理のスコープから最も漏れやすい機器だと感じています。理由ははっきりしていて、多くの場合これらは情シスではなく総務・庶務がリース契約で導入し、保守もベンダーが担当するからです。「情シスの資産台帳に載っていない、けれど社内ネットワークに常時つながっている機器」が、フロアごとに1台ずつ置かれている——これが実態ではないでしょうか。

加えて、複合機のファームウェア更新は業務停止を伴いやすく、「動いているものは触りたくない」という力学が働きます。サーバーやPCならパッチ適用の運用フローが確立していても、複合機だけは何年も出荷時のまま、ということが起こりがちです。

複合機は「印刷する箱」ではなく、OSとネットワークスタックを持ち、SSHやWebサーバーまで動いている立派なネットワーク機器です。まずはこの認識を、機器を管理している部署とも共有するところからだと思います。

情シスはどうすべきか

優先度の高い順に、確認すべき点を挙げます。

1. 対象機種かを確認する：リコーの脆弱性情報ページで自社の型番を突き合わせる。保守ベンダーに問い合わせるのが早い場合もあります。
2. SSHの有効・無効を実機で確認する：使っていないなら無効化するのが最も確実な緩和策です。無効化の可否・手順は機種により異なるため、ベンダー確認を推奨します。
3. ファームウェアを更新する：修正版が提供されています。 【要確認 2026-07-26：修正版ファームウェアが全対象機種で提供済みかは確認できていません。JVNは「開発者が提供する修正版へのアップデート」を案内する一方、リコーの海外向け告知（Ricoh USA/Europe）では「対象製品向けの更新ファームウェアを今後提供する」旨の記載が見られます。自社機種の提供状況はリコーの脆弱性情報ページまたは保守ベンダーで確認してください。】業務影響を考慮した更新計画を立ててください。
4. 外部から到達できないかを確認する：複合機がインターネットから直接見える状態になっていないか。これは今回の脆弱性に限らず、恒久的に確認すべき点です。

より広い運用の枠組みとしては、公的機関の指針に沿って整理するのが確実です。中小規模の組織であれば、IPAの中小企業の情報セキュリティ対策ガイドラインが、資産の把握から運用ルールの整備までを一通り押さえており出発点として使えます。自組織のネットワーク機器がどこまで外から見えているかを継続的に把握する考え方は、EASMとは？外部攻撃対象領域管理の仕組みを解説も参考になります。

また、複合機のような「誰の担当か曖昧な機器」の洗い出しは、机上演習の題材としても有効です。IPAのセキュリティインシデント対応 机上演習教材を使い、「複合機が踏み台にされたら誰がどう動くか」を関係部署と一度話しておくと、契約・保守の所管まで含めた課題が見えてきます。

まとめ

• リコー製プリンター・複合機のSSH機能に、ポートフォワーディング先を制限しない脆弱性（CVE-2026-63226）が2026年7月23日に公表された。SSH接続を設定している場合、当該機器経由で内部ネットワークの他ノードへアクセスされる恐れがある。
• CVSSはv4.0で6.9と中程度だが、これは「複合機自身が無傷」だからであり、被害の本質は踏み台化にある。点数だけで優先度を決めない。
• まずは対象機種かの確認とSSH設定の実機確認、そして修正版ファームウェアへの更新。複合機を資産台帳と脆弱性管理のスコープに入れ直す機会にしたい。

出典

• JVN#32082029: リコー製プリンターおよび複合機のSSH通信機能におけるアクセス制御不備の脆弱性（JPCERT/CC・IPA、2026年7月23日）
• JVNDB-2026-000102 – JVN iPedia
• NVD – CVE-2026-63226（NIST）
• リコー 脆弱性情報（ricoh-2026-000006）
• 中小企業の情報セキュリティ対策ガイドライン（IPA）