エプソン製プリンター266機種に失効ルート証明書

セイコーエプソンは2026年8月20日、同社のプリンターおよびスキャナーに、失効または廃止されたルート証明書が残存する脆弱性（CVE-2026-73542）があると公表しました。中間者攻撃を受けた場合、製品が外部へ送る通信の内容を傍受・復号されるおそれがあります。対象は公式一覧を数えると266機種にのぼり、個人向けのインクジェットからA3レーザー複合機、大判プリンターまで幅広く含まれます。

やっかいなのは対処方法です。ファームウェアが自動で降ってきて解決する話ではなく、Web Config（機器のブラウザ管理画面）から1台ずつルート証明書を更新する手作業が必要です。悪用は現時点で確認されていませんが、台数の多い組織ほど「いつ、誰が、どの機体を終わらせたか」を管理する作業が発生します。

この記事でわかること

• 失効したルート証明書が残っていると、具体的に何が起きるのか
• 対象266機種の内訳と、資産台帳から漏れやすい機体の特徴
• CVSSが「低」でもスコアだけで判断すると見落とす理由
• Web Configでの更新作業を、どう段取りすれば1回で終わるか

失効したルート証明書が残っていると何が起きるのか？

結論から言うと、機器が「信頼してはいけない相手」を信頼したまま通信し、偽の配信サーバーからにせの証明書を取り込まされる可能性があります。

ルート証明書とは、機器が「この認証局が発行した証明書なら信用する」と決めている大元の証明書です。パソコンと同じように、プリンターやスキャナーの中にも信頼する認証局の一覧（トラストストア）が組み込まれています。ここに失効・廃止された古い証明書が残っている、というのが今回の指摘です。

エプソンの説明はより具体的で、古い証明書が残っているため悪意のある第三者が正規の証明書配信サーバーになりすました不正サーバーを、プリンターまたはスキャナーが信頼してしまう可能性があり、その状態で偽の証明書を取り込むと、以後、機器から外部へ送信される通信内容が傍受・復号されるおそれがある、としています。

つまり「1回の盗み見」で終わらず、にせの証明書を機器に住み着かせてしまうと、以後の通信が継続的に読める状態になり得るという構図です（信頼の仕組み自体は公開鍵基盤（PKI）とは？仕組みと証明書運用を解説で解説しています）。

ただし成立には攻撃者が機器と通信相手のあいだの経路に入り込めることが前提です。社内LANのセグメントに侵入済みの端末がある、といった状況が必要になります。裏を返せば、すでに社内に侵入されている段階では現実味のある話です。

対象は266機種。家庭向けから大判プリンターまで

エプソンが公開した対象製品一覧を機械的に数えたところ、重複のない型番で266機種でした（2026年8月20日公開時点、当サイト集計）。内訳は次のとおりです。

目を引くのは、オフィスの共有複合機よりも、EP-／EW-／PX-Sといった個人・SOHO向けの型番のほうが圧倒的に多いことです。情シスの立場ではここが盲点になります。部門が備品費で買った小型プリンター、在宅勤務者が自宅で使う複合機、支店の受付に置かれたスキャナー——こうした機体は資産管理台帳にも、端末管理ツールの「インストール済みソフトウェア一覧」にも出てきません。複合機が社内侵入の足がかりになり得る話は、リコー複合機のSSHに脆弱性、内部への踏み台の恐れでも取り上げました。

なお、対象一覧に並ぶのは日本国内向けの型番です。執筆時点でエプソン米国法人のセキュリティ通知一覧に本件の掲載は確認できませんでした。海外モデルが対象かどうかは公開情報からは判断できないため、海外拠点がある場合は各国のサポート窓口への確認が確実です。

深刻度は「低」。それでも後回しにすると取りこぼす

CVSSスコアは評価バージョンによって印象が大きく変わります。

差が出た理由は、「中間者の位置を取る必要がある」という前提を、どこで表現するかの違いです。v3.1では攻撃条件の複雑さ（AC:H）に畳み込まれてスコアが下がります。v4.0ではこれを攻撃要件（AT:P）という別項目に分離するため、攻撃の実行手順そのものは単純だとしてAC:Lとなり、結果としてスコアが上がります。脆弱性の中身が変わったわけではありません。

実務上の問題は「3.7」という数字だけが自社の脆弱性管理ツールに取り込まれたときに何が起きるかです。「7.0以上を対応対象」といったスコア基準で運用していれば、この案件は判定にすら載りません。CVSSは影響を受ける資産の重要度を測る指標ではないので、スコアではなく「どの機器が、どこへ、何を送っているか」で判断するのが妥当です（証明書運用が実際にどう詰まるかは中間CA証明書の変更でTLS証明書更新が失敗した実例と対処もご参照ください）。

なぜ「パッチを当てて終わり」にできないのか

エプソンが示した対処は、古いルート証明書を削除した修正版のルート証明書を公開し、Web Configから利用者自身が更新するというものです。更新手順書はPDFで提供されています。

Web Configは、機器のIPアドレスをブラウザのURL欄に入力して開く管理画面です。つまり作業単位は「1台ずつ、ブラウザで開いて、更新する」になります。ここが今回いちばん現場に効くポイントです。

• ファームウェアの自動更新では解消しない。機器が勝手に直る形ではないため、対応漏れがそのまま残ります。
• バージョン番号が上がらない。脆弱性管理台帳を「バージョンが上がったか」で完了判定している組織では、対応済みと未対応の区別が台帳上つきません。作業台帳を別に作る必要があります。
• 台数がそのまま工数になる。100台あれば100回の作業です。遠隔地の小規模拠点や在宅勤務者の機体をどう回すかが、そのまま計画の中身になります。

「更新版を配って終わり」に見えて実は手作業が残る、という型は珍しくありません。最近ではEntra Connectに権限昇格脆弱性 手動更新が必須も同じ構図でした。

現場目線：そもそもWeb Configにログインできますか

作業計画を立てる前に、確認しておいたほうがよいことがあります。対象機器のWeb Configに、管理者としてログインできる状態になっているかです。

エプソン製品では、過去にWeb Config自体の認証まわりで脆弱性が公表されています。

• CVE-2025-35970（2025年8月公表）：初期の管理者パスワードがSNMPで入手できる情報から推測しやすく、変更されていない場合、SNMPにアクセスできる遠隔の攻撃者が管理者としてログインできる（CVSS v3.1 7.5／v4.0 8.7）。
• CVE-2024-47295（2024年10月公表）：初期パスワードの設定が安全でなく、認証されていない遠隔の攻撃者が任意のパスワードを設定できる（CVSS v3.1 8.1、CISA-ADP評価）。

これらは裏を返せば、管理者パスワードが設定されないまま置かれているエプソン機が現実に存在することを前提にした注意喚起です。今回のルート証明書更新は、普段まったく触らない全台に情シスが正面からアクセスする、数少ない機会でもあります。同じ訪問・同じ作業枠の中で、次の3点をあわせて片づけておくと、1回の作業で得られるものが大きくなります。

1. 管理者パスワードの設定・変更（初期状態や空のまま運用していないか）
2. 不要なプロトコルの停止（使っていないSNMP・FTP・各種印刷プロトコルの見直し）
3. インターネットからの到達性の確認（グローバルIPが振られていないか、UPnPやポート転送で外に出ていないか）

率直に言えば、プリンターや複合機は情シスの目がいちばん届きにくい機器です。壊れなければ問い合わせも来ず、告知が出ても「印刷できているのだから急がなくてよい」と後回しになりがちです。それでもネットワークに常時つながり、書類の中身を扱う機器であることは変わりません。ORB化とは 境界機器が攻撃の中継拠点にされる脅威のように周辺機器が攻撃側に使われる例もあり、台帳に載っていない機体をこの機会に洗い出せるなら、それだけでも作業の価値はあります。

情シスはどうすべきか

まずはエプソンの告知と更新手順書に沿って作業を進めるのが基本です。そのうえで、機器の棚卸しや利用者への周知は、自前でチェックリストを作り込むより公的機関の指針を土台にしたほうが早く、社内説明にも使えます。

• エプソン：プリンターおよびスキャナーのルート証明書における脆弱性について（対象機種一覧と更新手順書PDF）
• IPA：中小企業の情報セキュリティ対策ガイドライン（機器を含む情報資産の棚卸しと管理体制の作り方）
• IPA：対策のしおり（利用者向けの周知資料。在宅勤務者や部門担当への説明に使えます）

周知の面では、地道な啓発が効きます。「自宅や部門で買ったエプソン製プリンターを業務で使っている人は申し出てください」という一斉連絡は、対象機体の把握という意味では手順書より先に効く打ち手です。

中長期には、組み込み機器のトラストストアは放っておけば必ず現実からずれるという前提で機器を選ぶ視点も要ります。次の更新・入替では「証明書やファームウェアをまとめて遠隔から配れるか」を判断材料に入れておきたいところです。

まとめ

1. エプソンのプリンター・スキャナー266機種（当サイト集計）に、失効・廃止されたルート証明書が残存する脆弱性（CVE-2026-73542）が公表されました。中間者攻撃を受けると、機器が偽の配信サーバーを信頼し、以後の通信を傍受・復号されるおそれがあります。
2. CVSSはv3.1で3.7と低く、NVD本体の評価もありません。スコア基準だけで運用していると判定に載らないため、影響を受ける機器の所在と用途で判断してください。
3. 対処はWeb Configによる1台ずつの手動更新で、バージョン番号は上がりません。作業台帳を別に用意し、管理者パスワードの設定や不要プロトコルの停止をあわせて済ませるのが現実的です。

出典

• JVNVU#91609598 複数のセイコーエプソン製プリンターおよびスキャナーにおける失効したルート証明書が残存している問題（2026年8月20日公開）
• セイコーエプソン：プリンターおよびスキャナーのルート証明書における脆弱性について（2026年8月20日）
• NVD：CVE-2026-73542
• NVD：CVE-2025-35970／NVD：CVE-2024-47295
• Epson US：Epson Security Notifications（海外向け通知一覧）