古野電気 FA-50（簡易型船舶自動識別装置、AIS）におけるハードコード認証情報使用および認証欠如の脆弱性

JVN（Japan Vulnerability Notes）は、古野電気株式会社が提供する FA-50 CLASS B AIS TRANSPONDER（簡易型船舶自動識別装置、AIS）において、ハードコードされた認証情報の使用および重要な機能に対する認証欠如の脆弱性が存在すると公表した。

脆弱性の詳細

JVN（Japan Vulnerability Notes）によると、古野電気製 FA-50 CLASS B AIS TRANSPONDER（簡易型船舶自動識別装置、AIS）には、ハードコードされた認証情報の使用（CWE-798）と重要な機能に対する認証の欠如（CWE-306）に関する複数の脆弱性が存在する。前者は、機器やソフトウェア内に固定の ID・パスワード等が埋め込まれている状態を指し、攻撃者がその情報を入手できた場合に不正アクセスが成立し得る。後者は、本来必要な本人確認（認証）を行わないまま特定の設定項目などの重要な機能に到達できる状態を指し、権限のない第三者が操作できるリスクにつながる。

これらの脆弱性について、JVN および JVN iPedia ではそれぞれにCVE 番号とCVSS スコアが付与されている。ハードコードされた認証情報の使用については CVE-2026-59769 として公開されており、CVSS 4.0 基本値 8.8、CVSS 3.1 基本値 9.1 が示されている。重要な機能に対する認証の欠如については CVE-2026-67578 として公開されており、CVSS 4.0 基本値 8.7 が示されている。CVSS 評価では、認証情報を知っており、かつ当該機器が接続されたネットワークにアクセスできる攻撃者が、その認証情報を用いて設定画面を操作し、識別番号などの設定を改ざんする状況や、一部の設定が認証なしに変更される状況が想定されている。

攻撃ベクタ（攻撃が成立する経路）としては、当該機器が接続されている船内ネットワークや関連ネットワークに対して攻撃者がアクセス可能かどうかが重要となる。悪用された場合、第三者による不正なログイン、各種設定変更、識別番号などの情報の参照・改ざん等につながるおそれがあり、船舶運航や関連する業務に影響が生じ得るため注意が必要である。なお、本脆弱性は CISA ICS のアドバイザリ（ICSA-26-237-07）でも取り上げられており、報告者として Souvik Kandar 氏の名前が示されている。

影響を受ける製品・バージョン

• 古野電気株式会社が提供する FA-50 CLASS B AIS TRANSPONDER（FA-50、簡易型船舶自動識別装置、AIS） の全バージョン（Affected products として「FA-50 all versions」と公表）

推奨される対策

• ベンダーが提供する修正（アップデート/ファームウェア）や推奨される対策を確認・適用する。古野電気株式会社は FA-50 の生産を 2020 年 10 月に終了しており、ソフトウェア更新は終了している旨を案内しているが、公式のセキュリティ通知や取扱説明に従い、可能な範囲で設定変更やネットワーク構成の見直しなどの対策を実施する。適用可否、手順、適用後の確認方法はベンダーまたは保守会社の手順に従う。
• アクセス経路を最小化する。管理画面や管理用ポートに、業務上必要な端末・ネットワークからのみ到達できるよう制限し、船外ネットワークやインターネットなどから直接アクセスされないようにネットワーク設計を見直す。
• 不要な機能・不要なサービスを停止する。運用上使用していない管理機能や遠隔管理機能がある場合、停止または無効化を検討する。特に、設定画面や管理インターフェースへの不要なアクセス経路は閉じる。
• 認証情報の管理を強化する。変更可能な ID/パスワードがある場合は、初期値から強固な値へ変更し、共有・使い回しを避ける。変更できない固定情報（ハードコード認証情報）が存在することが想定される場合は、その情報を悪用されないよう、特にネットワーク分離やアクセス制御を優先する。
• 監視と記録を行う。管理画面へのアクセスや設定変更のログを定期的に確認し、想定外のアクセスや設定変更があれば、原因調査と該当経路の遮断、必要に応じたインシデント対応を実施する。

日本の中小企業が今すぐ取るべき行動

• 最優先：設置場所と接続経路を棚卸しし、FA-50 がどの船舶・どの拠点に設置され、どのネットワーク（船内 LAN、社内ネットワーク等）に接続されているかを把握する。そのうえで、FA-50 に外部（インターネットや外部事業者ネットワーク）や社内の広い範囲から到達できないかを確認する。
• 次に：現在のバージョン/ファームウェアを確認し、JVN（Japan Vulnerability Notes）やベンダーのセキュリティ通知で示される影響範囲（FA-50 全バージョンが対象であること）を踏まえて、自社の機器が該当するかを判定する。
• ベンダー/保守会社に連絡し、FA-50 に関する最新のセキュリティ情報や、利用者向けに案内されている対策（設定の見直しやネットワーク分離など）の有無、適用手順、作業時の影響（停止時間、設定バックアップの要否）を確認して更新・対策計画を立てる。
• 暫定措置としてアクセス制御（到達可能な端末の限定、不要ポートの遮断、ネットワーク分離）を実施し、外部公開や社内の不特定多数からの到達を避ける。特に、船内ネットワークからであっても、管理を担当する端末以外からはアクセスできないよう制限することが望ましい。
• 運用ルール化として、管理パスワードの管理方法、変更手順、点検頻度、セキュリティ更新や設定変更の担当者を決め、作業内容や日時を記録として残す。保守委託している場合でも、自社側で資産台帳と更新履歴を管理する。

CSRIからの現場アドバイス

実際のペネトレーションテストでは、ネットワーク機器や産業機器の管理画面に「初期設定のまま」や「固定の認証情報が残存」している例が散見される。診断報告書でよく指摘されるのが、保守任せで資産台帳と更新計画がなく、更新可否の確認や対策検討が遅れる点である。

例えるなら、機器の中に「合鍵が最初から入っている」状態や、そもそも「鍵がかかっていない扉」がある状態に近い。つまり、悪意ある第三者がその扉にたどり着けさえすれば、本人確認なしに操作される可能性があるということである。

まず FA-50 がどのネットワークにつながり、誰が到達できるかを確認する。次に、保守会社またはベンダーに現行バージョンや設置状況を伝え、利用者向けに案内されている対策や、必要に応じた設定変更・ネットワーク構成見直しの手順を依頼する。並行して、管理画面への到達を必要最小限に絞る設定変更（アクセス制御やネットワーク分離など）を早期に実施する。

参照: 古野電気製FA-50（簡易型船舶自動識別装置、AIS）におけるハードコードされた認証情報使用および認証欠如の脆弱性