CyberSecurityAction

日本関連インシデント / 脆弱性情報

シャープ・東芝テック製複合機に複数の脆弱性——ネットワークスキャナーは認証なしでファイル操作可能

JVNが7月31日公開。シャープ・東芝テック製MFPの複数脆弱性（JVNVU98759887）と、シャープ製ネットワークスキャナーツールの認証なしファイルアップロード問題（JVNVU92540957）が同日発覚。国内企業のオフィス機器セキュリティ点検が急務。

喜村 圭佑（編集責任者）更新 約4分

SHARE

XB!in
シャープ・東芝テック製複合機に複数の脆弱性——ネットワークスキャナーは認証なしでファイル操作可能

THREAT GAUGE算出基準

IMPACT（影響範囲）7.0
URGENCY（対応緊急度）7.5
EXPLOIT（悪用の容易さ）7.0

“JVN公開情報に基づく。CVSSスコア詳細はJVN各アドバイザリを参照。調査継続中。”

01 · Overview

ニュースの概要

JVN（Japan Vulnerability Notes）は2026年7月31日、シャープ株式会社および東芝テック株式会社が製造・販売する複合機（MFP）に複数の脆弱性が存在すること（JVNVU#98759887）、および、シャープ製ネットワークスキャナーツールの初期設定が認証なしで無制限にファイルをアップロード・操作できる状態にある問題（JVNVU#92540957）を同日に公開した。国内オフィスで広く普及した機器が対象であり、適切なネットワーク分離や設定変更が求められる。

シャープ・東芝テック製MFPの複数脆弱性（JVNVU#98759887）については、具体的な脆弱性の種別・CVSSスコア・影響範囲についてはJVNアドバイザリ本文で確認が必要だ。複数の脆弱性が同一製品群に存在することが公開されており、攻撃者が内部ネットワークからMFPにアクセスできる環境では、情報漏洩や不正操作のリスクがある。

より具体的に危険性が示されているのはネットワークスキャナーツールの問題（JVNVU#92540957）だ。シャープ株式会社が提供するネットワークスキャナーツールおよびネットワークスキャナーツールLiteは、初期設定の状態で接続時に認証を要求せず、無制限にファイルをアップロードすることが可能だ。これにより、同一ネットワーク上の第三者が認証なしにファイルを操作できる状態となっている。

複合機はオフィスネットワークの内側に設置されていることが多く、「内部ネットワークだから安全」という思い込みから設定変更やファームウェアアップデートが後回しにされるケースが多い。しかしゼロトラストの観点では内部ネットワークも非信頼ゾーンとして扱う必要があり、MFPへのアクセス制御は見直しが必要な盲点となっている。

JVN番号①
JVNVU#98759887（MFP複数脆弱性）
JVN番号②
JVNVU#92540957（スキャナーツール認証なし）
影響メーカー
シャープ株式会社・東芝テック株式会社
公開日
2026年7月31日
主要リスク
認証なしファイルアップロード・複数MFP脆弱性

JVNアドバイザリ（JVNVU#98759887・JVNVU#92540957）に基づく。詳細CVSSスコア・影響バージョンはJVN本文を参照。調査継続中。

02 · Analysis

詳細な原因解説

ネットワークスキャナーツールの根本的な問題は「セキュアでない初期設定（Insecure Default Configuration）」だ。製品出荷時に認証機能が無効化された状態がデフォルトとなっており、エンドユーザーが意図的に認証を設定しない限り、ネットワーク上の誰でもファイル操作が可能な状態が継続する。利便性を優先した設計上の判断が、長期間にわたるセキュリティリスクを生み出している。

複合機はコピー・プリント・スキャン・FAXなど多機能を持つ複雑なシステムであり、組み込みOS・Webサーバー・ネットワークサービスなど多層のソフトウェアスタックで構成されている。このため攻撃面が広く、かつファームウェアアップデートの配布・適用が一般的なサーバーやPCに比べて困難な場合が多い。

多くの組織では複合機のセキュリティ管理がIT部門の管轄外に置かれ、総務部門や各部署が独自に管理しているケースがある。このガバナンスの分断がパッチ適用や設定変更の遅延を招く。また、リース契約で導入された複合機はリース会社や販売代理店が管理主体となる場合もあり、脆弱性対応の責任が曖昧になりやすい。

03 · Action

今からできる主な対策

明日からすぐ

1週間以内

05 · Forecast

今後起こりうる展開と対策

SCAMPER：MFPを「内部攻撃の踏み台」に転用するリスク

Q. 攻撃者は複合機の脆弱性を「転用（Put to other uses）」してどのような高度攻撃を行うか？

複合機はオフィスネットワークの内部に設置されており、一度侵害されると同一セグメントの業務PCやファイルサーバーへの横展開（ラテラルムーブメント）に使われる可能性がある。スキャンした文書データの窃取だけでなく、複合機をC2（コマンド＆コントロール）サーバーとの通信中継点として利用する攻撃事例も海外では報告されている。IoT・OTデバイスを踏み台にした攻撃は「ノーマルトラフィックに隠れる」特性があり、検知が難しい。

システム思考：「管理の盲点」としてのオフィス機器

Q. なぜ複合機・プリンターはIT資産管理の盲点になりがちで、それが組織全体にどんなリスクをもたらすか？

複合機はITとOT（運用技術）の境界領域に位置するデバイスだ。調達は総務部門、設置・設定は代理店・保守業者、日常管理は各部署という分散管理構造になりやすく、誰も「セキュリティ責任者」として機能しないガバナンスの空白が生まれる。この空白はゼロトラストアーキテクチャへの移行が進む中でも埋まりにくい盲点であり、社内ネットワークに接続された全デバイスをIT資産として管理する仕組みの整備が組織全体のセキュリティ成熟度向上に不可欠だ。

今すぐ実装できる複合機防衛策

最も即効性が高いのは複合機をVLANで分離し、業務PCからの印刷・スキャンプロトコル（9100/TCP、443/TCP等）のみを許可し、複合機から外部インターネットや他の内部セグメントへの通信をデフォルト拒否するネットワーク設計だ。多くの企業でこれが未実施のまま放置されている。

既存のMDM（モバイルデバイス管理）やNAC（ネットワークアクセス制御）ソリューションに複合機を含めて管理することを検討する。IoTセキュリティプラットフォームを活用して複合機の通信パターンを可視化し、異常通信をアラートする仕組みを整えることが中長期的な対策として有効だ。

06 · AI Prompt

AI対策プロンプト

私は[組織名]の[役職]で、[業種]の業務を担当しています。社内に[メーカー名]製の複合機・ネットワークスキャナーが[台数]台あります。JVNが公開したシャープ・東芝テック製複合機の脆弱性（JVNVU#98759887、JVNVU#92540957）への対応として、（1）影響確認のチェックリスト、（2）設定変更・ファームウェア更新の手順概要、（3）今後の定期的なオフィス機器セキュリティ点検の仕組み、を作成してください。リース機器の場合の保守会社への依頼方法も含めてください。

プロンプトのカスタマイズ

以下を入力すると、上のプロンプトに反映されます。

自社または担当組織の名称

あなたの役職・担当領域

組織の業種

社内で使用している複合機メーカー

対象機器のおおよその台数

キーワード

  • 複合機
  • MFP
  • シャープ
  • 東芝テック
  • JVN脆弱性

SOURCES · 参考情報源