結論から書きます。古野電気の簡易型船舶自動識別装置（AIS）「FA-50」に、ハードコードされた認証情報の使用（CVE-2026-59769）と、重要な機能に対する認証の欠如（CVE-2026-67578）という2件の脆弱性が公表されました（JVNVU#95422936、2026年8月25日公表）。対象はすべてのバージョン。そして本機は2020年10月に生産を終了しており、修正するソフトウェア更新の提供予定はありません。ベンダが示せる対応は「後継機への買い替え」か「施錠管理してインターネットに直接接続しない」という運用面の回避策だけです。
自社で船舶を運航していないなら、直接の影響はありません。それでもこの一件を取り上げるのは、「通信機能を持つ生産終了品に脆弱性が出たとき、パッチは永久に来ない」という、どの情シスにも共通する問題がきれいに現れているからです。
この記事でわかること
- FA-50とは何をする機器で、誰が使い、何につながっているのか
- 2件の脆弱性の内容・CVSSスコアと、想定される影響
- 「修正版が出ない機器」をベンダはどう案内し、情シスはどう扱うべきか
- 自社に眠る同じ構造の機器（EOL＝サポート終了品）を洗い出す観点
FA-50とは何者か
1. 何をするものか。FA-50とは、自船の識別番号（MMSI）・船名・位置・針路といった情報をVHF電波で自動的に送受信し、周囲の船舶や陸上局と交換するための簡易型（クラスB）のAIS＝船舶自動識別装置です。AISは船どうしの衝突回避と海上交通の把握を目的とした仕組みで、大型船には搭載が義務づけられています。FA-50はその簡易版にあたり、小型船や漁船、プレジャーボートなどに搭載されます。
2. 誰が、どんな場面で使うのか。海運・水産・作業船・官公庁の船舶や、マリンレジャー用の小型船です。据え付けるのは船舶艤装の事業者や船主であり、企業の情報システム部門が調達・管理する機器ではないのが普通です。この「所管が情シスではない」という点が、後述する盲点に直結します。
3. どこに、何としてつながっているのか。ここが情シス読者にとって重要です。FA-50はEthernet（LAN）ポートを備え、ネットワーク経由で設定画面にアクセスして設定する構成になっています。古野電気の告知自身が「ネットワークを経由して当該製品の設定画面を操作し」と書いているとおりです。船内LANでレーダーや多機能ディスプレイ（MFD）、PCと同じネットワークにぶら下がります。つまりFA-50は「海の機器」であると同時に、Webの設定画面を持つIPネットワーク接続の組み込み機器にほかなりません。
何が起きたのか
公表された2件の内容は次のとおりです。
| CVE | 脆弱性の種類 | CVSS v3.1 | CVSS v4.0 |
|---|---|---|---|
| CVE-2026-59769 | ハードコードされた認証情報の使用（CWE-798） | 9.1（AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H） | 8.8 |
| CVE-2026-67578 | 重要な機能に対する認証の欠如（CWE-306） | 7.5（AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N） | 8.7 |
この2件はどれくらい危険なのですか？
ネットワークから権限も利用者操作もなしに設定を書き換えられる、という意味で危険度は高い部類です。ベクタを見ると両者とも AV:N（ネットワーク経由で攻撃可能）・AC:L（攻撃条件が容易）・PR:N（権限不要）・UI:N（利用者の操作不要）で揃っています。
一方で注目したいのは影響の内訳です。機密性が C:N（影響なし）で、完全性 I:H・可用性 A:H に振れています。「情報を盗まれる」型ではなく「設定を書き換えられる・機能を壊される」型の脆弱性である、と読み取れます。情報漏えいばかりに目が向きがちですが、組み込み機器の脆弱性はこの形を取ることが多く、社内の他機器を評価するときにも効く視点です。
具体的に何をされるのか
JVNの記述では、ハードコードされた認証情報を知る第三者が設定画面へ不正にアクセスして識別番号を改ざんできる、また認証を経ずに設定変更が可能である、とされています。
識別番号は船を一意に示すものですから、書き換えられればその船が海上で別の船として表示されることになります。位置情報の覗き見よりも、「なりすまし」と「誤った航行情報が周囲に流通すること」のほうが本質的な問題でしょう。安全に直結する情報を扱う機器で、認証が実質的に機能していないという構図です。
なぜ修正版が出ないのか
FA-50は2020年10月に生産を終了しており、以後ソフトウェア更新は実施されていません。今回の脆弱性についても修正の予定はないと明示されています。ベンダの推奨は次の2点です。
- 後継製品「FA-60」への更新を検討する
- 更新が困難な場合は、正当な利用者以外がアクセスできないよう施錠などで管理し、インターネットに直接接続しない
身も蓋もなく言えば「機器を替えるか、ネットワークから隔離するか」の二択で、パッチという選択肢が最初から存在しません。生産終了から6年近く経った製品について注意喚起を出している点で、ベンダの対応はむしろ真っ当です。問題は個社の姿勢ではなく、これがEOL（サポート終了）製品に脆弱性が見つかったときの標準的な結末だ、ということです。
修正されない脆弱性に残された手立ては、補償的コントロール——すなわち機器そのものではなく、その周囲（ネットワーク経路・物理アクセス）を締める対策しかありません。ベンダの回避策が「施錠」と「インターネットに直接つながない」という、一見して素朴な内容になっているのはそのためです。同種の状況としては、修正版が提供されない旧バージョンを抱えたWatchGuard Fireboxの事例も記憶に新しいところです。
「うちは船なんて持っていない」で終わらせない
ここからが本題です。今回の構図を要素に分解すると、次の4つになります。
- IPネットワークにつながる組み込み機器で、Webの設定画面を持つ
- その設定画面の認証が弱い（認証情報がハードコード／そもそも認証がない）
- すでに生産終了していて、パッチは今後も出ない
- 情シスの資産台帳に載っていない可能性が高い（買った部署と守る部署が違う）
この4条件を満たす機器は、船に限らず社内のあちこちに転がっています。心当たりのあるものを挙げてみます。
- ネットワークカメラ、入退室管理のコントローラ、デジタルサイネージ
- 複合機、ラベルプリンタ、時刻同期用のGPS受信機
- UPSのネットワーク管理カード、温湿度・漏水などの環境監視ユニット
- 古いNAS、無線APコントローラ、遠隔電源制御（PDU）
- 工場・研究部門・店舗が独自に導入した計測機器や制御装置
どれも「壊れていないから替えない」まま10年動き続けがちで、しかも導入したのが情シス以外、という共通点があります。「自社は使っていない」と即断できない例としては、ESP32搭載機器に広く影響したESP-IDFの脆弱性や、認証不要のRCEを含むEV充電器の脆弱性も参考になります。今回のAISは、その極端な——しかし本質は同じ——一例にすぎません。
現場目線の課題
正直に書くと、この手の機器は情シスから本当に見えません。サーバやPCは資産管理エージェントが入っているので棚卸しできますが、エージェントを入れられない機器は、誰かが台帳に手で書き起こさない限り「存在しないこと」になります。ネットワークスキャンで見慣れないWeb管理画面を見つけても、所管部署がどこか分からず、止めていいのかも判断できない。担当部署にたどり着いて「ネットワークから切りたい」と言えば「業務が止まる」と返され、そこで話が終わる——このやり取りを何度繰り返したか分かりません。
もうひとつ効いてくるのが、EOL情報の追跡コストです。生産終了のアナウンスはベンダサイトの奥のほうに置かれ、しかも今回のようにEOLから6年近く経ってから脆弱性が公表されることがあります。「サポートが終わった＝もう情報は出てこない」ではないのです。むしろ、修正されないと分かっている脆弱性の情報だけが後から届く。届いた時点で打てる手は限られている、というのがつらいところです。
限られた人員でここまで手を伸ばすのは現実的に厳しい。だからこそ「全部を把握する」ではなく「外に露出しているものだけは必ず潰す」という優先順位づけが要ります。ベンダが「インターネットに直接接続しない」とだけ書いているのは、裏を返せばそこさえ守れば実害の大半は避けられるという判断でもあります。
情シスはどうすべきか
自前で長大なチェックリストを作るより、公的機関の指針を土台にしたほうが早く、社内説明にも使えます。
- IPA「IoTのセキュリティ」——ネットワークにつながる機器を扱う際の考え方と各種手引きがまとまっています。台帳に載らない機器をどう位置づけるかの整理に使えます。
- IPA「中小企業の情報セキュリティ対策ガイドライン」——情報資産の洗い出しと管理の進め方が具体的です。付録の様式は資産台帳のたたき台になります。
- IPA「対策のしおり」——現場部門・エンドユーザ向けの啓発資料。「設定画面を外から触れるようにしない」といった話を、専門用語なしで伝えるのに向きます。
そのうえで、地道なユーザ教育・啓発が結局いちばん効くと感じています。事故の芽の多くは悪意ではなく「外から設定できたほうが便利だから」という善意の運用から生まれるからです。棚卸しそのものの進め方は脆弱性管理の基本も併せてご覧ください。
まとめ
- 古野電気FA-50の全バージョンに2件の脆弱性（CVE-2026-59769／CVE-2026-67578、CVSS v3.1で9.1と7.5）。ネットワーク越しに認証なしで設定画面を操作され、識別番号を改ざんされるおそれがあります。
- 2020年10月に生産終了済みで、修正版は提供されません。対応は後継機FA-60への更新か、施錠管理とインターネット非接続という運用面の回避策のみです。
- この構図は自社にも当てはまります。Web設定画面を持つEOLの組み込み機器が、情シスの台帳に載らないまま社内で動いていないか。まずは「外部に露出しているものはないか」の一点から確認してください。
