2026年9月8日から10日にかけて、JVNでコンテック（CONTEC）製品に関する脆弱性情報が4件まとめて公開されました。対象は太陽光発電監視装置「SolarView Compact」、IoTコントローラ「CONPROSYS」、産業用無線LAN「FLEXLAN」、I/Oユニット「PC-HELPER」の各シリーズです。
合計すると20件を超えるCVEが採番され、最大でCVSS v3.1基本値 9.8（認証なしで製品を操作される）に達します。OSコマンドインジェクション、認証の欠如、パストラバーサル、細工ファームウェアのアップロードなど、内容も重いものが並びます。
そして最大の問題は、これらの機器がたいてい情シスの資産台帳に載っていないことです。発注元が施設管理部門や生産技術部門で、ネットワーク図に「その他」としか書かれていない——という状況は珍しくありません。
この記事でわかること
- 今回まとめて公開された4シリーズの脆弱性の中身
- コンテック製品が「知らないうちに社内で動いている」理由
- SolarView Compactが過去にMiraiボットネットに悪用された経緯
- 台帳に載っていない設備系機器をどう洗い出すか
コンテック製品とは何者か（情シスが発注していない機器たち）
コンテックは、産業用コンピュータや計測制御機器を手がける国内メーカーです。工場・設備・インフラの現場で使われる、いわゆるOT（運用技術）寄りの製品を多く提供しています。今回対象となった4シリーズは、それぞれ次のようなものです。
- SolarView Compact：太陽光発電・蓄電の発電量を監視し、可視化する装置。同社サイトでは「3万カ所を超える発電所に導入」と紹介されてきました。
- CONPROSYS：設備からデータを集めて上位システムへ渡す、IoT／M2M向けのコントローラ・データロガー群。
- FLEXLAN：工場や倉庫、車両などで使われる産業用の無線LANアクセスポイント／ブリッジ。
- PC-HELPER：ワイヤレスI/OユニットやCAN通信変換器など、現場の信号を扱う入出力デバイス。
ここが要点です。これらは「情シスがIT予算で買った機器」ではないことがほとんどです。太陽光監視装置は設備投資、産業用無線LANは工場のライン工事、I/Oユニットは生産技術の装置一式。稟議も納品も情シスを経由せず、しかし社内ネットワークには当たり前のようにつながっている。「うちはコンテック製品を使っていない」と即断せず、まず現物の確認から始めてください。
何が公開されたのか
SolarView Compact（JVNVU#97753461）
| CVE | 種類 | CVSS v3.1 | 影響 |
|---|---|---|---|
| CVE-2026-82794 | OSコマンドインジェクション（スケジュール設定画面） | 8.8 | ログイン可能な攻撃者に任意のOSコマンドを実行される |
| CVE-2026-82795 | クロスサイトスクリプティング（スケジュール設定・メール送信設定画面） | 5.4 | 設定画面にアクセスしたユーザのブラウザ上で任意スクリプトを実行される |
| CVE-2026-82796 | クロスサイトスクリプティング（画像登録画面） | 5.4 | 同上 |
対象は SV-CPT-MC310 および SV-CPT-MC310F の 9.00 より前。対策はファームウェアの最新版へのアップデートです。
CONPROSYSシリーズ（JVNVU#96551518）
今回のなかで最も件数が多く、内容も重い区分です。
- CVE-2026-82787：認証の欠如（CWE-306）／CVSS v3.1 9.8 — 遠隔の攻撃者に認証なしで製品を操作される。今回の最高値です。
- CVE-2026-82774／82777／82779：OSコマンドインジェクション（v3.1 8.7〜8.8）
- CVE-2026-82789：Evalインジェクション（v3.1 8.8）— ログイン可能な攻撃者に任意コードを実行される
- CVE-2026-82775／82778：ディレクトリリスティング（v3.1 4.3〜5.3）— 認証なしでディレクトリ一覧を取得される
- CVE-2026-82773／82776／82788：クロスサイトスクリプティング（v3.1 5.1〜6.1）
対策はファームウェアの最新版へのアップデートですが、製品系列ごとに対応バージョンが異なります。JVNとコンテックの公式情報で、自社の型番に対応する版を確認してください。
FLEXLANシリーズ（JVNVU#99009004）
- CVE-2026-82762／82766：OSコマンドインジェクション（v3.1 8.8）
- CVE-2026-82770／82772：バッファオーバーフロー（v3.1 8.8）
- CVE-2026-82765／82768：パストラバーサル（v3.1 8.1）
- CVE-2026-82764：クロスサイトリクエストフォージェリ（v3.0 4.3）
- CVE-2026-82763／82767／82769／82771：クロスサイトスクリプティング（v3.1 5.2〜5.4）
対象製品は FX5000／FX4000／FX3000シリーズ、SGA1000、RP-WAH-SRシリーズ、EC1000シリーズなど。無線アクセスポイントは、物理的に工場の天井や屋外ポールに設置されていることが多く、ファーム更新の段取りが最も面倒な部類です。早めに計画してください。
PC-HELPERシリーズ（JVNVU#90314828）
- CVE-2026-82791：OSコマンドインジェクション（v3.1 8.8）— CAN-2-WF／CAN-2-USB 2.20より前
- CVE-2026-82793：アップロードファイルの検証不十分（v3.1 7.2）— 細工したファームウェアをアップロードされ任意コードを実行される
- CVE-2026-82790／82792：クロスサイトスクリプティング（v3.1 5.2〜5.4）
- CVE-2026-82764：クロスサイトリクエストフォージェリ（v3.0 4.3）— ワイヤレスI/O DIO-0404RY-LWF 1.01.00より前
SolarView Compactは、過去に実際に悪用されている
「太陽光の監視装置が狙われるのか」と思うかもしれませんが、SolarView Compactには実際に悪用された前科があります。
2022年に公表されたCVE-2022-29303（テストメール送信機能のコマンドインジェクション、CVSS 9.8）は、2023年3月以降、Miraiボットネットの亜種に悪用されていることがPalo Alto Networks Unit 42により確認されました。当時、VulnCheckの調査ではShodanでインターネットに露出したSolarViewが600台超見つかり、そのうち400台以上が脆弱なバージョンのままだったと報告されています。
つまりこのクラスの機器は、「攻撃者に見つかっている」「実際に踏み台にされる」ことが実証済みです。Miraiが一般的なサーバまで感染先を広げている状況はMiraiはサーバにも感染｜cPanel悪用で23/TCP急増でも扱いました。設備系機器だから狙われない、という前提はもう成り立ちません。
現場目線の課題：ネットワーク図に「その他」と書いてある箱
正直に言うと、この種の機器は情シスにとって一番手が出しにくい相手です。
まず所有者が自分ではない。太陽光の監視装置を止めていいかは設備部門の判断で、工場の無線APを止めるにはラインの停止調整が要ります。「脆弱性が出たのでファームを上げたい」と言っても、返ってくるのは「いつ止められるか、生産計画を見てから」です。それはそれで正当な言い分なので、押し切れません。
次にそもそも何台あるか分からない。IT資産管理ツールはエージェントが入るPCやサーバは拾いますが、組込み機器は拾いません。ネットワーク図には四角が描いてあって「監視装置」とだけ書いてある。型番もファームのバージョンも、当時の工事業者しか知らない、ということが普通に起きます。
それでも今回のようにCVSS 9.8で「認証なしで操作される」が出ている以上、放置はできません。せめて「インターネットに直接出ているものが無いこと」だけは今日中に確認する——それが現実的な第一歩だと思います。露出さえしていなければ、更新のタイミングは業務都合と相談できます。
情シスはどうすべきか
1. インターネット露出の有無を最優先で確認する
前述のとおり、このクラスの機器は露出していれば自動化された攻撃に確実に見つかります。自社の保有グローバルIPに対して、管理画面が外から見えていないかを確認してください。遠隔監視の都合でポート開放されているケースが典型的な落とし穴です。
2. 設備部門・生産技術部門と一緒に棚卸しする
- ネットワーク図の「その他」の箱を、メーカー名・型番・ファームバージョンまで具体化する
- 導入時の工事業者・保守業者を洗い出し、ファーム更新を依頼できる窓口を今のうちに確保しておく
- 更新できない事情（保証、停止調整、EOL）がある機器は、ネットワーク分離など代替策とセットで記録に残す
3. 公的指針とアドバイザリで土台を作る
- JVN（Japan Vulnerability Notes）：国内メーカー製品の脆弱性は、まずここに出ます。設備系機器を持つなら定点観測の価値があります。
- 中小企業の情報セキュリティ対策ガイドライン（IPA）：資産の把握と委託先管理の基準として使えます。
- セキュリティインシデント対応 机上演習教材（IPA）：「設備系機器が踏み台にされた」想定は、部門横断の連絡経路を試すのに向いています。
CISAのICS勧告など海外の制御システム系情報も併せて追うと精度が上がります（CISA ICS勧告15件、空調とCAD端末も対象）。組込み機器の脆弱性が広く波及する構図はESP-IDFにDHCP脆弱性 ESP32搭載機器が影響も参考になります。
まとめ
- コンテック製4シリーズ（SolarView Compact／CONPROSYS／FLEXLAN／PC-HELPER）に20件超のCVEが公開。最大はCONPROSYSの認証欠如でCVSS v3.1 9.8。対策はいずれもファームウェアの最新版適用。
- これらは情シスが発注していない設備系機器。台帳にもネットワーク図にも具体名が載っておらず、「使っていない」の即断が最も危険。
- SolarView Compactは過去にMiraiへ悪用された実績がある。まずインターネット露出の有無だけでも今日確認し、更新計画は設備部門と組んで進める。
出典
- コンテック製SolarView Compactにおける複数の脆弱性（JVN）
- コンテック製CONPROSYSシリーズにおける複数の脆弱性（JVN）
- コンテック製無線LAN FLEXLANシリーズにおける複数の脆弱性（JVN）
- コンテック製PC-HELPERシリーズにおける複数の脆弱性（JVN）
- IoT Under Siege: The Anatomy of the Latest Mirai Campaign Leveraging Multiple IoT Exploits（Palo Alto Networks Unit 42）
- Actively Exploited Industrial Control Systems Hardware – SolarView Series（VulnCheck）
