リコー複合機50製品に脆弱性2件、他社機も対象

リコー製の複合機・プリンターに搭載されている管理用Webインターフェース「Web Image Monitor」に、反射型クロスサイトスクリプティング（CVE-2026-56809／CVSS 6.1）とオープンリダイレクト（CVE-2026-41226／CVSS 4.7）の2件の脆弱性が公表されています。リコーの告知は2026年8月31日に更新され、対象製品は両件あわせて50製品グループ（型番ベースではさらに多数）に達しました。

さらに同じ2026年8月31日、コニカミノルタジャパンも自社の広幅複合機1422Wシリーズが同じ2件のCVEの影響を受けると公表しています。「うちはリコー機ではない」で終われない案件です。いずれもファームウェアの更新で解消します。

この記事でわかること

  • Web Image Monitorとは何で、なぜ他社ブランドの複合機にも影響が出るのか
  • 2件の脆弱性の中身と、複合機で起きた場合に何が困るのか
  • 自社の機体が該当するかを、操作パネル／ブラウザから確認する具体的な手順
  • 「重大ではないが放置もできない」中程度の脆弱性に、限られた人員でどう向き合うか

Web Image Monitorとは何か（なぜ他社機にも入っているのか）

Web Image Monitorとは、リコー製の複合機・プリンターの内部で動いているWebサーバー兼管理画面です。機器のIPアドレスをブラウザで開くと表示される、あの画面のことです。

用途は情シスにはおなじみで、アドレス帳の登録、ネットワーク設定、ジョブ履歴の確認、ユーザー認証の設定、ファームウェアのバージョン確認などを、機体の前まで行かずに実施できます。つまり「管理者が使う画面」であり、社内ネットワークのどこからでも到達できる状態で放置されがちという性質を持っています。

重要なのは3点目です。Web Image Monitorはリコーブランドの機体だけに載っているわけではありません。コニカミノルタジャパンは2026年8月31日付の告知で、同社の広幅複合機1422W／1422W SP／1422W SPFについて「WebImageMonitor（複合機内部で動くウェブサーバ）」の脆弱性として、今回とまったく同じCVE-2026-56809とCVE-2026-41226を挙げ、参照先としてJVN#48718197・JVN#65118274を示しています。

複合機は「メーカーのロゴ＝中身の開発元」とは限らない領域です。資産管理台帳にブランド名しか書いていないと、この種の横断的な影響は拾えません。エプソン製プリンターの失効ルート証明書問題のときも同じ構図でした。「自社の複合機のWeb管理画面は誰が作ったものか」を一度確認しておく価値があります。

何が起きたのか

公表されている2件を整理します。

項目 CVE-2026-56809 CVE-2026-41226
種別 反射型クロスサイトスクリプティング（CWE-79） オープンリダイレクト（CWE-601）
CVSS v3.0 基本値 6.1（AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N） 4.7（AV:N/AC:L/PR:N/UI:R/S:C/C:N/I:L/A:N）
CVSS v4.0 基本値 5.1 5.1
想定される影響 細工されたURLにアクセスしたユーザーのブラウザ上で任意のスクリプトが実行される 複合機を経由して、第三者が指定した外部サイトへ遷移させられる
JVN JVN#48718197 JVN#65118274
公表日 2026年6月30日 2026年4月30日
最終更新 2026年8月31日（いずれも対象製品表の更新）
報告者 Pentest Limited Tomasz Holeksa 氏 SIXGEN Tony Kirkland 氏

どちらも「ユーザーが細工されたURLを踏むこと」が成立条件（CVSSのUI:R）です。攻撃者が複合機に一方的に侵入できるタイプではありません。一方で、認証は不要（PR:N）で、スコープ変更あり（S:C）と評価されています。

注意したいのは、2026年8月31日の更新が脆弱性そのものの追加ではなく「対象製品表の更新」である点です。4月・6月の初報時点で「うちの機種は載っていなかった」と確認して安心していた組織ほど、いま再確認が必要になります。オープンリダイレクトの告知は4月30日の初版以降、5月11日・6月15日・6月30日・8月31日と4回にわたって対象製品が追加されてきました。

複合機で起きると、何がまずいのか

CVSSだけ見ると6.1と4.7で、緊急対応の対象にはなりにくい数字です。ただし複合機という文脈を足すと、優先度の見え方が少し変わります。

オープンリダイレクトは「自社ドメインの信頼」を貸してしまう

オープンリダイレクトは、正規のサイトのURLを踏み台にして、利用者を任意の外部サイトへ飛ばす脆弱性です。単体では情報が漏れるわけではありませんが、フィッシングメールのリンクを「社内の見慣れたホスト名」にできてしまう点が厄介です。

複合機は社内ホスト名やIPが従業員に周知されていることも多く、「いつもの複合機のアドレスだから」と警戒が緩む素地があります。同じ構図はSonicOSのHostヘッダ脆弱性でも見られ、管理者向け画面ほど「踏ませたい相手」が管理者本人になるという厄介さがあります。

反射型XSSは「管理画面のセッション」が的になる

Web Image Monitorは管理者がログインして使う画面です。管理者がログイン中に細工URLを踏めば、スクリプトはその管理画面の文脈で動きます。アドレス帳には社内外のメールアドレスやSMB共有の宛先が入っていることが多く、複合機は「地味だが個人情報の塊」です。リコー自身は今回の影響として情報の窃取までは記載しておらず、CVSSの機密性影響も「低」評価にとどまりますが、管理画面を持つ機器のXSSを軽く見る理由にはなりません。

複合機がネットワークの内側で足がかりになるリスクについては、リコー複合機のSSHに関する脆弱性でも触れています。

自社が該当するかを確認する手順

リコーは対象製品ごとに影響バージョンを公開しています。確認は次の2通りで、どちらもファームウェアのモジュール別バージョンを見るのがポイントです。「本体のバージョン」1つではなく、System/Copy・Web Support・Web Uapl・NetworkDocBox・Printer といった複数モジュールが対象になります。

操作パネルから確認する場合

  • 設定 ＞ システム設定 ＞ 本体／操作パネルの情報 ＞ ファームウェアバージョン表示

ブラウザ（Web Image Monitor）から確認する場合

  1. ブラウザのアドレスバーに http://（機器のアドレスまたはホスト名）/ を入力してアクセス
  2. トップページで［ログイン］をクリックし、管理者のユーザー名・パスワードでログイン
  3. ［機器の管理］－［設定］をクリック
  4. ［機器］－［ファームウェアアップデート］をクリック
  5. ［ファームウェアバージョン］－［モジュール名］で、Web Support／Web Uapl／NetworkDocBox／Printer／System/Copy のバージョンを確認

影響バージョンは機種ごとに異なります。参考までに、リコー／コニカミノルタが公開している具体例を挙げると次のとおりです。

機種 影響を受けるバージョン
RICOH IM C3000/C3500（CVE-2026-41226） System/Copy 8.07以下、Web Support 9.05以下、Web Uapl 9.00以下、NetworkDocBox 8.07以下、Printer 8.05以下
RICOH IM C6010/C5510/C4510（CVE-2026-56809） Web Support 3.01以下、Web Uapl 3.01以下、Printer 3.00.1以下
コニカミノルタ 1422W／1422W SP／1422W SPF（両CVE） System/Copy 1.20以下、Web Support 1.12以下、WebUapl 1.06以下、NetworkDocBox 1.07以下、Printer 1.10以下

自社機種の正確な影響バージョンは、リコーの脆弱性情報ページ（後述の出典）から機種名で辿ってください。対策はいずれも「RICOH Firmware Update Tool」による最新ファームウェアへの更新、コニカミノルタ機は同社の「ファームウェアアップデートツール」の適用です。どちらも利用者側で適用できる形で提供されています。

現場目線の課題：複合機のパッチは、なぜ後回しになるのか

正直なところ、この種の告知が出るたびに感じるのは「やるべきことは明快なのに、いちばん手が回らない領域だ」というもどかしさです。

まず、複合機は情シスの管理台帳から漏れやすい。総務がリース契約で入れていて、資産管理ツールのエージェントも当然入りません。脆弱性管理の一覧にも出てこないので、「対象機器の洗い出し」という最初の一歩からして手作業になります。

次に、止められない。ファームウェア更新には再起動が伴い、日中は誰かが必ず使っています。数十台ある拠点で、全台を業務時間外に更新して回る段取りをつけるのは、CVSS 6.1の案件に割ける工数を超えがちです。

そして、保守業者との役割分担が曖昧という問題があります。「保守契約に入っているから業者がやってくれるはず」と思っていたら、業者側は「依頼があれば実施」というスタンスだった、というすれ違いは珍しくありません。コニカミノルタの告知も、問い合わせ先を「当該機器の保守サービス実施店」としています。誰がいつ適用するのかを契約ベースで一度確認しておくことが、次に同種の告知が出たときの初動を大きく変えます。

加えて、複合機は寿命が長く、サポート終了後も現役で使われがちです。修正版が提供されない生産終了機種の扱いは、機器の種類を問わず情シス共通の悩みどころです。

情シスはどうすべきか

今回のような中程度の脆弱性で、自前の長大なチェックリストを作る必要はありません。押さえるべきは次の3点です。

  1. 対象の棚卸し：リコー製および他社ブランドを含めた複合機・プリンターの機種名を洗い出し、リコー／コニカミノルタの告知と突き合わせる。ブランド名だけで除外しない。
  2. ネットワーク面の緩和：コニカミノルタが明記しているとおり、複合機はファイアウォールやルーターで保護されたネットワーク内で運用し、インターネットから管理画面に到達できる状態にしない。管理画面へのアクセス元も業務上必要な範囲に絞る。
  3. 利用者への注意喚起：今回の2件はいずれも「細工されたURLを踏む」ことが起点です。心当たりのないメールのリンクを開かないという基本の徹底が、そのまま緩和策になります。

3点目のユーザー啓発は地味ですが、パッチ適用に時間がかかる期間の実質的な防御線になります。配布物としては、IPAの「対策のしおり」がそのまま使えます。機器を含めた全体の運用方針を見直したい場合は、IPAの中小企業の情報セキュリティ対策ガイドラインが、体制・資産管理・委託先管理まで含めて整理されており、複合機のような「契約で入っている機器」の位置づけを考える助けになります。自前で対策項目を並べ直すより、公的な指針を軸にしたほうが経営層への説明もしやすくなります。

中長期の視点

今回の件で本質的に学ぶべきなのは、CVSSの数字そのものより「対象製品表が繰り返し更新された」という事実のほうだと考えています。初報の時点で完全な影響範囲が出ることは、ハードウェア製品ではむしろ稀です。

そうであれば、運用として必要なのは「一度確認して終わり」ではなく、該当しなかった告知も含めて再確認のトリガーを持っておくことです。主要ベンダーの脆弱性情報ページをRSSやブックマークで定期的に見る、JVNで自社の主要製品名を検索する、といった軽い仕組みで十分です。複合機のように更新が数か月に分けて出る製品ほど、この差が効いてきます。

まとめ

  1. リコー製Web Image Monitorに反射型XSS（CVE-2026-56809／CVSS 6.1）とオープンリダイレクト（CVE-2026-41226／CVSS 4.7）の2件。2026年8月31日の更新で、対象は両件あわせて50製品グループに拡大した。
  2. 同じ2026年8月31日、コニカミノルタジャパンも広幅複合機1422Wシリーズが同じ2件の影響を受けると公表。ブランド名だけで自社を対象外と判断しない。
  3. 確認は操作パネルまたはWeb Image Monitorからモジュール別のファームウェアバージョンを見る。対策はファームウェア更新。適用までの間は、ネットワークでの保護と「不審なURLを踏まない」利用者啓発が緩和策になる。

出典

タイトルとURLをコピーしました