船の位置や船名を自動で送受信する簡易型の船舶自動識別装置（AIS）に、二つの認証上の欠陥が公表された。対象は古野電気の「FA-50」の全バージョン。深刻度は高いにもかかわらず、この製品にソフトウェアの修正版が提供されることはない。2020年10月に生産を終了しており、更新の予定がないためだ。利用者に示された選択肢は、後継機への買い替えか、機器の施錠やネットワーク分離といった運用上の軽減策の実施である。
公表された二つの欠陥
JPCERT/CCとIPAが運営するJVNは2026年8月25日、古野電気製FA-50に関する脆弱性情報（JVNVU#95422936）を公開した。同日、古野電気も自社サイトで利用者向けのお知らせを出している。
公表されたのは次の二件だ。
- ハードコードされた認証情報の使用（CVE-2026-59769、CWE-798）。脆弱性の深刻度を示す指標であるCVSS v3.1の基本値は9.1、CVSS v4.0では8.8とされる。機器にあらかじめ埋め込まれた認証情報を知る第三者が、それを使って設定画面にアクセスできる。
- 重要な機能に対する認証の欠如（CVE-2026-67578、CWE-306）。CVSS v3.1の基本値は7.5、CVSS v4.0では8.7。上記以外の設定項目については、そもそも認証を求められることなく変更されてしまう。
古野電気の説明では、当該製品が接続されたネットワークにアクセスできる第三者が、ネットワーク経由で設定画面を操作し、識別番号等を改竄する可能性があるとされている。AISは船名や識別番号、位置、針路といった情報を周囲の船舶や陸上局と自動的にやり取りする仕組みであり、その識別情報が書き換えられうるということは、海上での「身元表示」が信用できなくなりうることを意味する。
この脆弱性は米CISAのICSアドバイザリ（ICSA-26-237-07）としても公開されており、報告者のSouvik Kandar氏がCISA ICSに報告し、依頼を受けたJPCERT/CCが開発者との調整を担当した経緯が記されている。CISAは対象を輸送システム分野の重要インフラに位置づけ、世界的に導入されている製品だとしている。
修正版が出ない製品にどう向き合うか
古野電気が案内している対応方法は、後継製品であるFA-60への更新の検討が第一だ。同社によれば、後継機は本脆弱性の影響を受けない。
更新が難しい場合の軽減策として挙げられているのは二点である。当該製品を設置した船舶には正当な利用者以外がアクセスできないよう施錠などの管理を行うこと、そして当該製品をインターネットから接続できないようにすることだ。
いずれもパッチではなく、機器を物理的・ネットワーク的に隔離する運用上の措置である。攻撃者が船内ネットワークに到達できない限りリスクは顕在化しにくい、という前提に立った対策だといえる。裏を返せば、船内のネットワークが外部と何らかの形でつながっている場合、この前提が崩れるおそれがある。
「もう直らない機器」は陸にも海にもある
この一件を、船舶に縁のない企業の話として読み飛ばすのは惜しい。ここで起きているのは、業種を問わず起こりうる構図そのものだからだ。
第一に、機器の寿命とソフトウェアのサポート期間はしばしば一致しない。FA-50は2020年に生産を終えたが、船に据え付けられた装置がその後6年間で一斉に姿を消すわけではない。工場の制御機器、ネットワーク機器、複合機、監視カメラ——「まだ動いているから使っている」機器は、どの現場にも残っている。動くことと、守られていることは別だ。
第二に、修正版が出ない以上、資産の把握そのものが対策になる。自社にどの機器が何台あり、それがどのネットワークにつながっているのかを言えなければ、今回のような公表があっても、影響範囲の判断すらできない。
第三に、隔離を対策とするなら、隔離が本当に保たれているかを確かめる必要がある。「インターネットにはつないでいないはずだ」という認識と実際の配線・設定が食い違っている例は珍しくない。今回、対策の中心が施錠とネットワーク分離である以上、その前提が崩れていないかを定期的に点検することが、そのまま防御の実効性を左右する。
サポートが終了した機器を洗い出し、更新するか、隔離するか、止めるかを決める。地味だが、修正版が届かない世界ではこれが唯一の手続きになる。
同じ手口に、自社は備えられていますか？