シャープ複合機164機種に脆弱性 CVE-2026-60011、78機種は修正版なし

オフィスに置かれているシャープ製のデジタル複合機（コピー・プリンター・スキャナーが一体になった機械）に、ログイン画面を通らずに、機械の中に保存された書類の画像を取り出される脆弱性が見つかりました。共通脆弱性番号は CVE-2026-60011。シャープが2026年7月31日に公式アドバイザリを出し、同日 JVN（国が運営する脆弱性情報サイト）にも掲載されました。

問題は対象の広さです。シャープのアドバイザリに並ぶ機種名を数えると164機種。しかもそのうち78機種は「ファームウェアのサポートを終了しております」と明記され、修正プログラムが提供されません。直せる機種と、直せない機種が、同じ文書のなかで表1と表2に分けて並んでいます。

同じ日、シャープはパソコン側に入れるスキャン受信ソフトの別の欠陥（CVE-2026-62416、JVNVU#92540957）も公表しています。複合機本体とパソコン側、両方をふさぐ必要があるという話です。

※CVSSは脆弱性の深刻さを0〜10で示す国際的な指標です。今回の数値はシャープおよびJVNが公表した値を記載しています。

3つの弱点のうち、日本のオフィスに関係するのは2つ

JVNには3件の番号が並んでいますが、日本国内で売られている機械に関係するのは2件だけです。ここを取り違えると、必要のない心配をすることになります。

CVE-2026-60011: ログイン画面を通らずに保存書類を見られる

今回の本命です。シャープの説明では「複合機のWebページへのHTTPリクエストを改ざんすることで複合機に保存された画像データに対し、複合機のWebページの認証機構を迂回してアクセスすることが可能となります」。かみ砕くと、複合機の設定画面にはIDとパスワードで入る仕組みがあるのに、細工したアドレスを直接叩くとその手前をすり抜けて、機械に溜まっているスキャン画像を取り出せてしまうということです。JVN側は「閲覧権限のない画像の取得」と表現しています。

CVE-2026-63545: USBメモリから印刷すると、関係ない書類まで出てくる

シャープの原文は「USBストレージから細工したPDFファイルを印刷しようとすると、複合機内に保存されている別のファイルが予期せず印刷される」。印刷後に消えるはずの一時ファイルが機械の中に残っていて、それを引きずり出せてしまう欠陥です。深刻度は2.4と低めですが、他人の書類が自分の手元に紙で出てくるという、想像しやすいかたちの情報漏えいです。

CVE-2026-63563: 日本国内向けの製品は影響を受けません

「初期設定ではユーザー認証機能が無効にされており、アドレスブックの編集操作やドキュメントファイリング関連の機能はユーザー認証なしに使用可能になっている」という内容で、3件のなかでは一番きな臭く読めます。ただしJVNは「日本国内向けの製品は影響を受けません」とはっきり注記しています。実際、シャープの国内向けアドバイザリ2026-004にこのCVE番号は登場せず、扱われているのは60011と63545の2件だけです。

東芝テックが同日に出したお知らせで挙げている対象は e-STUDIO 908 / 1058 / 1208 と e-STUDIO 907 / 1057 / 1207 の6機種で、製品リストの直後に「本製品は、北米市場のみで導入しております」と書かれています。東芝テック側の文書には「国内モデルは対象外」と明記した一文はなく、対象6機種そのものが北米導入品である、と読むのが原文に最も忠実です。

誰が、何のために狙うのか

まず現実的な話をすると、この穴に手を伸ばすのは、すでにそのオフィスのネットワークに足をかけている相手です。取引先を装ったメールで社内の一台に入り込んだ攻撃者、来客用の無線に接続できた第三者、あるいは複合機がうっかりインターネット側から見える設定になっている場合の通りすがり。複合機は「印刷する機械」という顔をしていますが、中身はハードディスクとWebサーバーを積んだコンピューターで、社内ネットワークに常時つながったまま、誰にも見られずに置かれています。

そういう相手が何をするか。機械の中に溜まったスキャン画像を、ログインせずに拾い集めるのがこの脆弱性の使い道です。複合機を通る紙は、契約書、見積書、健康診断の結果、人事評価、印鑑を押した申請書。「あとで取りに行くから」とスキャンしたまま置き去りになったデータが、そのまま持ち出せる棚になります。

被害の出方は二段構えです。書類に名前が載っていた社員・顧客・取引先にとっては、自分の情報が流れたことに気づく手立てがありません。会社にとっては、漏えいの事実そのものに加えて「いつ、どれだけ抜かれたのか」を証明できないことが重くのしかかります。複合機のログを日常的に確認している組織はほとんどないからです。だからこそ、シャープが挙げる回避策の最後に「監査ログを定期的に確認し、不審なアクセスの形跡がないかチェックする」が入っています。

自分のオフィスの機械は対象なのか

シャープのアドバイザリは、機種を「対策ファームウェアを提供する表1」と「サポートを終了した表2」に分けています。まず自社の複合機の型番を確認してください。型番は本体正面か操作パネル横のシールに印字されています。

下の表は、修正版が提供される表1側の機種群です。数字は「これ以前だと影響を受ける」ファームウェアのバージョンで、対策版の番号はアドバイザリに記載がありません（販売店経由での案内になります）。

※正確な型番の並びはシャープの原文で確認してください。上表は読みやすさのためにシリーズ単位でまとめています。

修正版が出ない78機種は、どう付き合えばいいのか

今回いちばん困るのが表2です。シャープはここに並ぶ機種について「『発生しうる影響』①について、ファームウェアのサポートを終了しております」と書いています。つまり穴があると分かっているのに、直す手段が配られない状態です。MX-5141FN、MX-3640FN、MX-2610FN、MX-M753、MX-M503N といった、まだ現役で動いている型番が多数含まれます。

古い製品の脆弱性が修正されないまま公表される事態は、複合機に限りません。当サイトでも東芝Dynabookのドライバーが修正されず「削除してください」で終わった件を扱いました。買い替え以外に完全な解決策がない、という結論は同じです。

では買い替えるまで何をするか。シャープが挙げている回避策は4つで、いずれも「攻撃者が複合機に届かないようにする」方向の対策です。順に、複合機をインターネットに直接接続せずファイアウォールなどで保護されたネットワーク内で使うこと。パスワードによって複合機のWebページへのアクセスを制限すること。デフォルトユーザーの「管理者」「ユーザー」のパスワードを工場出荷時の初期値から変更して適切に管理すること。そして監査ログを定期的に確認し、不審なアクセスの形跡がないかチェックすることです。

4つのうち効果が大きいのは最初の1つです。この脆弱性は複合機のWeb機能に触れられることが前提なので、外から触れない場所に置けば実質的に無力化できます。逆に言えば、複合機がグローバルIPアドレスを持ったままになっている環境が最も危ないということです。

パソコン側のスキャン受信ソフトにも別の穴がある

同じ7月31日、シャープはもう1件のアドバイザリ（2026-005）を公表しました。対象は「ネットワークスキャナツール Lite」と「ネットワークスキャナツール（Sharpdesk 付属ソフトウェア）」。複合機でスキャンした書類を、社内LAN経由でパソコンの指定フォルダーへ自動保存する常駐ソフトです。シャープ製複合機を導入すると、ほぼセットで入ってきます。

CVE-2026-62416: 初期設定のままだと誰でもファイルを置ける

このソフトはスキャン結果を受け取るためにパソコンの内部でFTPサーバー（ファイルを送受信するための待ち受け機能）として動いています。ところが初期設定のままでは認証が機能せず、JVNの表現を借りれば「制限なくファイルをアップロードすることが可能」。同じネットワークに入れた相手なら、誰でもそのパソコンにファイルを置けます。

シャープが想定する影響は「悪意のあるファイルを送付され、製品ユーザーが当該ファイルを開く/実行することで、他のデバイスが当該PCを介した攻撃を受けるおそれ」。ディスクを埋め尽くされて動作不能になる可能性もJVN側で指摘されています。

こちらは修正版がきちんと出ています。シャープのダウンロードサイトから対策済みアプリを入手し、更新後に「システムオプション」でバージョンを確かめ、「セキュリティアカウント設定」にユーザー名とパスワードが入っているかまで確認してください。修正版がまだ当てられない場合は、「システムオプション」を開いて「パスワード設定機能の無いネットワークスキャナーを利用する場合、チェックしてください」のチェックを外し、セキュリティアカウント設定にユーザー名とパスワードを設定する、という手順が案内されています。

複合機が狙われると、実際どうなるのか

「複合機くらい」と感じる方のために、過去に何が起きたかを挙げておきます。

2013年、複数の国内大学で複合機がインターネットから直接見える状態に置かれ、スキャンした書類が第三者に閲覧できることが発覚しました。IPA（情報処理推進機構）が同年11月にシステム管理者向けの注意喚起を出し、不要なら外部ネットワークに接続しない、必要なら通信を限定する、管理者パスワードを出荷時設定から変更する、アクセス制限を有効にする、の4点を求めています。今回のCVE-2026-60011は「外から届く複合機のWeb機能を通じて保存書類が読める」という、13年前とほぼ同じ構図です。

2019年には、Microsoftの脅威インテリジェンス部門が国家支援型の攻撃グループがオフィスのプリンターやIP電話を侵入の足がかりにしていたと報告しました。侵害された機器のうち2件は工場出荷時のパスワードが変更されておらず、1件は更新が未適用だったとされています。シャープと東芝テックが今回挙げる回避策が「初期パスワードの変更」と「ファーム更新」なのは、この2つが実際に破られてきたからです。

業界団体のJBMIA（ビジネス機械・情報システム産業協会）も複合機が踏み台にされた事例を公開しています。ファイルサーバー機能で使っていたプロトコルが古く、そこを突かれてウイルスが社内に広がり、最終的に取引先まで感染が及んで賠償責任を追及されたという内容です。同団体は複合機に保存した特許関連の書類が盗み見された事例も挙げています。プリンター系の脆弱性としては、当サイトでもリコーの複合機・プリンターが社内ネットワーク侵入の踏み台にされる脆弱性を扱いました。

番号は振られているのに、NVDでは調べられない

調べていて引っかかった点をひとつ。今回の4件のCVE番号を米国立標準技術研究所のNVD（世界で最も参照される脆弱性データベース）で引くと、4件とも「CVE ID Not Found」で何も出てきません。CVE-2026-60011、CVE-2026-63545、CVE-2026-63563、CVE-2026-62416、いずれもです。

NVDは「CVEまたはCNAによって番号が割り当てられていても、CVE側でRESERVED（予約済み）の状態であればNVDには載らない」と説明しています。番号は確保されているが、公開データとしてはまだ流れていない段階、ということです。

実務上の意味は小さくありません。脆弱性を自動で照合する管理ツールの多くはNVDのデータを取り込んで動いているため、この4件は当面それらのツールに引っかかりません。今回に関しては、JVNとメーカーのアドバイザリを人間が読んで型番を突き合わせる以外に、対象かどうかを知る方法がないということになります。

前回は146モデル、今回は約170機種

シャープと東芝テックの複合機が同じJVNの記事に並ぶのは、これが初めてではありません。2024年10月にも同様の公表があり、Security NEXTは「シャープと東芝テックの複合機146モデルに脆弱性 - 半数はサポート終了」と報じています。ASCII.jpやマイナビ TECH+も同じ件を記事にしました。

今回はシャープ164機種に東芝テック6機種を加えて約170機種、うちシャープの78機種が修正ファーム提供なし。規模は前回より広がっています。なお機種数はアドバイザリ本文に総数の記載がないため、当サイトで機種名を数えた値です。

複合機の国内シェアについては、メーカー別の内訳を示す一次データが公表されていません。JBMIAは出荷統計を公開しているものの、メーカー別の数字は含まれていません。「シャープは国内4位」といった順位は販売店系サイトの記述として流通しているだけで、裏付けのある数字ではない点を添えておきます。

なお本記事の執筆時点で、今回の公表分を扱った国内メディアの記事は確認できていません。2024年の前例では複数媒体が翌日には報じていたことを踏まえると、報道はこれから出てくる可能性があります。

いますぐやるべきこと

まず自社の複合機の型番を控えて、シャープのアドバイザリの表1にあるか表2にあるかを確認します。表1なら販売店またはシャープマーケティングジャパンに連絡してファームウェアの更新を依頼してください。対策版の番号はアドバイザリに書かれていないため、問い合わせ窓口経由での対応になります。東芝テックの対象機種を使っている場合も、サービス実施店から本体ソフトウェアのバージョンアップが案内されます。

表2にあった場合は、更新を待っても来ません。複合機がファイアウォールの内側にいるか、外部から直接アクセスできる状態になっていないかを最優先で確認してください。あわせて管理者パスワードが工場出荷時のままでないかを見ます。実務では、リース契約で入った機械の管理者パスワードを誰も変えていない、という状況がしばしばあります。

パソコン側のネットワークスキャナツールは、こちらは自分で対処できます。Lite なら V2.1.0.2 以降、Sharpdesk 付属版なら V6.2.0.1 以降へ更新し、セキュリティアカウント設定を入れてください。

最後に、複合機の監査ログを一度見ておくことをすすめます。日常的に確認している組織はまずありませんが、「見ていなかったから何も起きていないと思っていた」を避けるには、今が良いきっかけです。国内メーカーのネットワーク機器ではエレコム製ルーターの脆弱性のように、サポート終了品が対象に含まれる公表が続いています。

まとめ

シャープ製デジタル複合機164機種に、ログインを迂回して保存書類の画像を取り出される脆弱性 CVE-2026-60011 が見つかりました。USBメモリからの印刷で別の書類が出力される CVE-2026-63545 も同時に公表されています。3件目の CVE-2026-63563 は日本国内向け製品には影響しません。

悪用の報告は今のところありません。ただし78機種は修正ファームウェアが提供されず、ネットワークから隔離する以外に手がないという点が、この件のいちばん重い部分です。深刻度の数字は6.9とそこまで高くありませんが、対象の広さと「直せない機種がある」という事実で読むべき案件だと考えています。

複合機は、買ったときの設定のまま何年も動き続けます。今回のような公表は、その設定を見直す数少ない機会です。

よくある質問

複合機を社内LANだけで使っています。それでも危険ですか

リスクは大きく下がります。この脆弱性は複合機のWeb機能に到達できることが前提のため、外部から直接届かない環境であれば、社内に侵入された場合の二次被害という位置づけになります。ただし来客用無線と社内LANが分離されていない、といった構成には注意してください。

東芝テックの複合機を使っていますが対象ですか

東芝テックが挙げた対象は e-STUDIO 908 / 1058 / 1208 と 907 / 1057 / 1207 の6機種で、同社は「本製品は、北米市場のみで導入しております」と記載しています。国内で使っている機種がこのリストに無ければ、今回の公表分の対象ではありません。

対策ファームウェアのバージョン番号はどこで分かりますか

シャープ・東芝テックいずれのアドバイザリにも、対策版の具体的なバージョン番号と提供時期は記載されていません。販売店またはサービス実施店経由での案内になります。

すでに情報が漏れていないか確認する方法はありますか

複合機の監査ログを確認するのが唯一の手がかりです。シャープも回避策のひとつとして挙げています。ただしログの保存期間は機種と設定によって異なり、過去にさかのぼって完全に確認できるとは限りません。

参照元

• ・JVNVU#98759887 シャープ製および東芝テック製複合機（MFP）における複数の脆弱性
• ・JVNVU#92540957 シャープ製ネットワークスキャナーツールの初期設定がセキュアでない問題
• ・シャープ 弊社複合機における複数のセキュリティ脆弱性について（2026-004）
• ・シャープ ネットワークスキャナツールにおける脆弱性について（2026-005）
• ・東芝テック 弊社複合機における脆弱性について（2026年7月31日）
• ・シャープ 複合機・プリンター ダウンロードサイト
• ・INTERNET Watch 複合機「データ丸見え」はネット接続設定の見直しで防止を、IPAが注意喚起
• ・Microsoft MSRC Corporate IoT – a path to intrusion
• ・JBMIA 複合機のセキュリティ 事例集
• ・Security NEXT シャープと東芝テックの複合機146モデルに脆弱性 - 半数はサポート終了（2024年10月）