アツミ電氣のDVRに非公開機能の脆弱性、旧機種は修正なし

アツミ電氣の DVR（録画機）ADX シリーズに、OS のコマンドを実行できる非公開の機能が残っていました。現行の機種は Ver.10.8.237 で修正されています。販売終了の3機種に修正版は出ません。

脆弱性の概要

重要CVSS8.6

やること

DVR はカメラの映像を録画する機器です。ADX シリーズを使っている場合は、機種によって対応が変わります。

ADX5004、ADX5008、ADX404、ADX3004、ADX3008、ADX3016、ADX204 は、ファームウェアを Ver.10.8.237 へ更新します
更新すると、初期のパスワードと弱いパスワードは使えなくなります。新しいパスワードを作ってください
ADX1004、ADX1008、ADX2016 には修正版が出ません。遠隔接続が不要なら LAN ケーブルを外します。必要なら ADX5000 シリーズへの置き換えを検討します

アツミ電氣と JVN は10月20日にこの問題を公表しました。ADX シリーズには、メンテナンス用の機能が非公開のまま、ネットワーク越しに使える状態で入っていました。

CVE-2026-97627 は任意の OS コマンドを実行できる機能です。CVSS は v4.0 で 8.6、v3.0 で 7.2 です。

CVE-2026-100737 はファームウェアを書き換えられる機能です。CVSS は v4.0 で 6.9 です。

悪用には管理者のパスワードが必要です。パスワードを知られると、データの改ざんや漏えい、マルウェアの感染、攻撃の踏み台としての利用につながるおそれがあります。不正なファームウェアを入れられて、機器が正常に動かなくなることもあります。

開発元と JVN の公表に悪用の記載はありません。報告者は情報通信研究機構のサイバー脅威分析室です。

対象は上の表のとおりで、ADX5016 は対象外です。3機種に修正版が出ないのは、販売終了から年数がたっているためです。

自社で確かめること

型番とファームウェアを確かめる社内の録画機の型番を確認してください。設置業者に任せている場合は、対応を問い合わせてください。

外につないでいないか見る遠隔接続を使っているかを確認してください。不要なら、LAN ケーブルを外して使います。

管理者パスワードを変える悪用には管理者のパスワードが要ります。初期値や弱いパスワードのままなら、長いものへ変えてください。

自社で確かめるのが難しい場合はCyberScope のセキュリティ診断（3万円から）