要点
発表された事実
- JVNは2026年10月20日、アツミ電氣株式会社のDVR（デジタルビデオレコーダー）「ADXシリーズ」に、非公開機能を悪用される問題があると公表した（JVN#88864366）。
- アツミ電氣によると、ADXシリーズには、ネットワークを介して外部から接続した状態で使える「任意のOSコマンドを実行可能なサービス」と「ファームウェアのアップグレードを実行可能なサービス」が実装されていた。いずれもメンテナンス用で、非公開だった（アツミ電氣）。
- 管理者のパスワードを知りえた第三者は、任意のOSコマンドを実行したり（CVE-2026-97627、CVSS v4 8.6）、不正なファームウェアに書き換えたり（CVE-2026-100737、CVSS v4 6.9）できる（JVN、アツミ電氣）。
- 修正ファームウェアVer.10.8.237が、ADX5004/ADX5008/ADX404/ADX3004/ADX3008/ADX3016/ADX204向けに公開された。適用すると、初期値や弱いパスワードは使えなくなる（アツミ電氣）。
- ADX1004/ADX1008/ADX2016は、販売終了から年数がたっているため修正ファームウェアは提供されない。遠隔接続が不要ならDVRからLANケーブルを外して使う、必要ならADX5000シリーズへの置き換えを検討するよう案内している（同）。
- 報告者は情報通信研究機構（NICT）サイバーセキュリティ研究所 サイバー脅威分析室（JVN）。
わかっていないこと
- 悪用の有無（JVN・アツミ電氣の公表では、実際の攻撃には触れていない）
- インターネットから到達できる状態のADXシリーズがどれくらいあるか
- 修正前のファームウェアで、初期値や弱いパスワードのまま動いている機器の割合
関係しそうな既知の手口
- （考察）防犯カメラ用レコーダーは、初期パスワードのまま遠隔監視のためにインターネットへ出されやすく、IoTボットネットの定番の標的になっている。「管理者権限が必要」という条件は、初期パスワードが残っていれば実質的に条件にならない。
影響を受ける製品
| 製品 | 対象ファームウェア | 対応 |
|---|---|---|
| ADX5004 / ADX5008 / ADX404 | Ver.10.8.237より前 | Ver.10.8.237へ更新（ADX5016は対象外） |
| ADX3004 / ADX3008 / ADX3016 / ADX204 | Ver.10.8.237より前 | Ver.10.8.237へ更新 |
| ADX1004 / ADX1008 / ADX2016 | すべて | 修正なし。ネットワークから外すか、後継機へ置き換え |
概要
- 防犯カメラの映像を録るアツミ電氣のレコーダーに、ネットワーク越しに使える保守用の隠れたサービスがあった。
- 管理者パスワードを知る者なら、OSコマンドの実行やファームウェアの書き換えができる。
- 新しい機種は修正ファームウェアで対応したが、古い3機種には修正がなく、ネットワークから外すか置き換えるしかない。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
発表内容の整理
事実（JVN・アツミ電氣）
| 項目 | 内容 |
|---|---|
| 問題の種類 | CWE-912（隠された機能） |
| CVE-2026-97627 | 任意のOSコマンドを実行される。CVSS v4 8.6、v3 7.2（PR:H＝管理者権限が必要） |
| CVE-2026-100737 | 不正なファームウェアへアップグレードされる。CVSS v4 6.9、v3 4.9 |
| 前提 | 管理者のパスワードを知りえた場合（アツミ電氣） |
| 想定される被害 | データの改ざん・破壊・漏洩、マルウェア感染、攻撃の踏み台化、正常に動かないファームウェアへの書き換えによる停止（アツミ電氣） |
| 修正 | Ver.10.8.237。適用後は初期値・弱いパスワードが使えなくなる |
| 報告者 | NICT サイバーセキュリティ研究所 サイバー脅威分析室 |
考察
CVSSでは「管理者権限が必要」として評価が抑えられているが、この種の機器では管理者パスワードが初期値のまま、または簡単なまま使われていることが多い。アツミ電氣が修正版で「初期値ならびに弱いパスワードは使用できなくなります」と書いているのは、現場にそうした機器があることを前提にした対応と読める（考察）。
保守用の非公開サービスは、利用者が存在を知らないため、無効にしたりファイアウォールで閉じたりする対象に入らない。利用者が設定画面で見ているサービスのほかに、外から届く口があったことが、この問題の本質だ（考察）。
報告者がNICTのサイバー脅威分析室である点は、同室がインターネット上の攻撃通信を観測している組織であることを考えると、何らかの観測をきっかけに見つかった可能性もある（考察。JVNには発見の経緯は書かれていない）。
関係しそうな既知の手口
事実（既知の知見・同種事例）
- 海外では、IoT機器を狙うボットネットが、公開STUNサーバーとのやり取りに命令を紛れ込ませて動く例が報告されている（Cling（ClingSTUN）の記事）。
- フランスでは、ネットにつながった冷凍機管理装置が狙われ、スーパー数百店で設備が遠隔操作された（Danfoss製冷凍機管理装置の記事）。
考察
- 販売終了品は直らない：修正のない古い機種がネットにつながったまま残ると、問題が公開された今後は狙われやすくなる。遠隔で映像を見る必要があるなら、置き換えるか、VPNの内側に入れて直接インターネットから届かないようにするしかない（考察）。
- DVRは社内ネットワークへの足場になる：レコーダーがOSコマンドを実行できる状態で取られると、同じネットワークにある他の機器への攻撃の起点になる（考察）。
利用者・運用者がいまできること
事実（発表に基づく）
- 対象の7機種は、ファームウェアをVer.10.8.237に更新する。初期値・弱いパスワードを使っている場合は新しいパスワードを作る（アツミ電氣）。
- ADX1004/ADX1008/ADX2016は、遠隔接続が不要ならLANケーブルを外して運用し、必要ならADX5000シリーズへの置き換えを検討する（同）。
考察（運用者向け）
- 施設内のADXシリーズの機種とファームウェアを確認する。防犯設備は設備担当や施工業者の管理になっていて、情報システム部門が把握していないことがある。
- ルーターのポート転送やUPnPで、レコーダーがインターネットから直接見える状態になっていないか確かめる。遠隔監視が必要ならVPN越しにする。
- 管理者パスワードを初期値から変え、他の機器と使い回さない。