今日は4本のニュースを取り上げます。Tenda製Wi-Fiルーターにパスワード不要で管理者権限を取れる「隠しバックドア」が見つかり、修正パッチの提供予定がありません。該当機器は管理画面の外部公開停止か買い替えが必要です。エプソン製プリンター・スキャナーのWeb Config脆弱性、日本大学のメールアカウント乗っ取り事案も、社内の複合機設定とメールの多要素認証を見直すきっかけにしてください。
NEWS 01
CERT/CC・JVN ｜ 2026年7月7日（JVNVU#93316066）
Tenda製Wi-Fiルーターに「隠しバックドア」、パスワード検証を回避して管理者権限を取得可能。修正パッチなし
米CERT/CCは7月上旬、Tenda製ルーターなどの複数ファームウェアに、文書化されていない隠し認証機能（バックドア）が存在すると公表しました（VU#213560）。JPCERT/CCとIPAが運営するJVNも7月7日、JVNVU#93316066として注意喚起を出しています。この脆弱性はCVE-2026-11405として報告されています。
問題の仕組みは、Web管理画面へのログイン時に通常の認証に失敗すると、ファームウェア内部に保持された別の「隠しパスワード」との照合が行われ、一致した場合は正規の認証を経ずに管理者権限のセッションが作成されるというものです。この機能は製品マニュアルに記載がなく、管理画面から確認・無効化することもできません。影響が報告されている機種にはFH1201、W15E、AC10、AC5、AC6などが含まれます。
CERT/CCはメーカーであるTenda（中国）と連絡が取れず、公表時点で修正ファームウェアは提供されていません。今後も修正が提供されるか不透明な状況です。
▌中小企業への影響
Tendaは低価格帯のWi-Fiルーターとして通販サイトで流通しており、小規模オフィスや店舗で「安いから」と導入されているケースがあります。管理画面がインターネット側から到達できる状態だと、攻撃者にルーターを乗っ取られ、通信の盗聴・改ざん、社内ネットワークへの侵入、他社攻撃の踏み台化につながります。パッチが出ないため、設定変更か機器交換でしか対処できません。
▌推奨対応
- →自社・店舗・在宅勤務者宅にTenda製ルーターがないか確認する。型番は機器本体の底面ラベルで確認できる
- →該当機器がある場合、リモート管理機能（WAN側からの管理画面アクセス）を直ちに無効化する
- →管理画面へのアクセスを社内LANの特定端末に限定する
- →修正提供の見込みがないため、業務利用の機器は国内サポートのあるメーカー製への買い替えを検討する
NEWS 02
JVN・エプソン ｜ 2026年7月7日（JVN#87285119）
エプソン製プリンター・スキャナーのWeb Configに脆弱性、罠ページ経由で機器設定を変更されるおそれ
セイコーエプソン製の複数のプリンター・スキャナーに搭載されている設定画面「Web Config」に、クロスサイトリクエストフォージェリ（CSRF）の脆弱性（JVN#87285119、CVE-2026-58315）が公表されました。Web Configにログインした状態のパソコンで、攻撃者が用意した罠のWebページを開くと、利用者が気づかないうちにプリンター本体の設定を変更されるおそれがあります。
エプソンは対象製品の一覧を公式サイトで公開し、対策を案内しています。JVNの公表時点で、この脆弱性を悪用した攻撃は確認されていません。本件は情報セキュリティ早期警戒パートナーシップに基づき研究者からIPAに報告され、JPCERT/CCがエプソンと調整したものです。
▌中小企業への影響
エプソン製の複合機・プリンターは中小企業のオフィスに広く設置されています。設定を書き換えられると、スキャンデータの送信先変更による情報窃取や、機器の無効化といった被害につながる可能性があります。「プリンターはセキュリティ対策の対象」という意識が薄い企業ほど、管理画面のパスワードが初期値のまま放置されがちです。
▌推奨対応
- →エプソン公式サイトの対象製品一覧で自社の機種を確認し、ファームウェア更新が提供されていれば適用する
- →Web Configの設定作業が終わったら必ずログアウトする習慣を徹底する
- →ログイン中に他のWebサイトを閲覧しない
- →プリンターをインターネットから直接アクセスできる場所に置かず、社内LANのプライベートIPアドレスで運用する
- →管理画面のパスワードが初期値のままなら、この機会に変更する
NEWS 03
日本大学 ｜ 2026年7月6日公表
日本大学でメールアカウント9件が乗っ取り被害、スパムメール1万7,864件の送信踏み台に
日本大学は7月6日、在学生・卒業生計9名のアカウントが第三者に不正アクセスされ、スパムメール送信の踏み台として悪用されたと公表しました。不正アクセスは6月24日以降に発生し、6月26日に検知。大学は該当アカウントの利用停止・無効化により不正アクセスを遮断しました。乗っ取られたアカウントからは学内外へ計1万7,864件の不審メールが送信されています。
大学は再発防止策として、多要素認証（MFA）の導入推進、アカウント管理の適正化、情報セキュリティ教育の再徹底を挙げています。
▌中小企業への影響
これは大学の事案ですが、構図は企業のメールアカウントでも同じです。パスワードの使い回しやフィッシングで認証情報が奪われると、自社ドメインからスパムや詐欺メールが大量送信され、取引先からの信用失墜に加え、自社ドメインが迷惑メール送信元としてブラックリスト登録され、正常な業務メールまで届かなくなる二次被害が発生します。
▌推奨対応
- →メールシステム（Microsoft 365・Google Workspace等）に多要素認証を導入する。未導入ならこれが最優先
- →退職者・休眠アカウントを棚卸しし、不要なものは無効化する
- →短時間での大量送信や海外IPからのログインを検知できるよう、管理者向けアラート設定を確認する
- →自社ドメインのなりすまし対策（SPF・DKIM・DMARC）の設定状況を確認する
NEWS 04
CISA（米国） ｜ 2026年7月7日 KEVカタログ追加
Adobe ColdFusionとJoomla向けページビルダーの脆弱性で悪用確認、CVSS満点10.0が3件
米CISA（サイバーセキュリティ・インフラセキュリティ庁）は7月7日、実際の攻撃での悪用を確認した脆弱性カタログ（KEV）に4件を追加しました。Webアプリケーションサーバー「Adobe ColdFusion」のパストラバーサル脆弱性（CVE-2026-48282、CVSSスコア10.0）、Joomla向けページ作成拡張機能「JoomShaper SP Page Builder」（CVE-2026-48908、同10.0）と「Joomlack Page Builder」（CVE-2026-56290、同10.0）、AIワークフロー構築ツール「Langflow」（CVE-2026-55255、同9.9）です。
ColdFusionの脆弱性は、Adobeが6月30日に修正パッチを公開してからわずか1週間ほどで悪用が確認されました。Joomlaの2つの拡張機能は、いずれも認証なしで任意のファイルをアップロードされ、サーバー上でコードを実行される（RCE）おそれがあります。米連邦政府機関には7月10日までの修正が義務付けられており、対応の緊急度は高いと判断されています。
▌中小企業への影響
直接影響するのは、自社WebサイトをJoomlaで構築している企業や、ColdFusionベースの業務システムを使っている企業です。ページビルダーのような「拡張機能」は本体CMSの更新だけでは修正されず、放置されがちです。Webサイトを乗っ取られると、改ざんによるマルウェア配布やフィッシングページ設置に悪用され、自社が加害者側になります。
▌推奨対応
- →自社WebサイトのCMS（Joomla・WordPress等）と、導入している拡張機能・プラグインの一覧を把握する
- →SP Page Builder・Joomlack Page Builderを使用している場合は直ちに最新版へ更新する
- →ColdFusionを利用するシステムがあれば、6月30日公開のパッチ適用状況を確認する
- →Webサイトの制作・保守を外部業者に委託している場合、拡張機能の更新状況を書面・メールで確認する
編集部まとめ
今日の4本に共通するのは「管理画面」の守りです。ルーター、プリンター、メール、CMSのいずれも、管理画面が外部から到達できる状態や初期設定のままの運用が被害の入口になります。特にTendaの件は修正パッチが出ないため、設定変更か買い替え以外の選択肢がありません。社内のネットワーク機器・複合機の棚卸しと、管理画面の公開状態の確認を今週の宿題にしてください。
参考情報
secure
