古野電気製 FA-50（簡易型船舶自動識別装置）におけるハードコード認証情報および認証欠如の脆弱性

独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は2026年8月25日、古野電気株式会社が提供する簡易型船舶自動識別装置「FA-50 CLASS B AIS TRANSPONDER」において、ハードコードされた認証情報の使用および重要な機能に対する認証欠如に関する脆弱性が存在すると「Japan Vulnerability Notes（JVN）」で公表した。

事案の詳細

対象は古野電気株式会社製の「FA-50 CLASS B AIS TRANSPONDER（簡易型船舶自動識別装置、AIS）」であり、すべてのバージョンが影響を受けるとされている。

本件では、以下2種類の脆弱性が指摘されている。

1つ目は、ハードコードされた認証情報の使用に関する脆弱性であり、CVE番号は「CVE-2026-59769」として公開されている。FA-50にはソフトウェア内に固定（ハードコード）された認証情報が存在し、この認証情報を知る第三者が、当該製品が接続された船舶内ネットワークへのアクセス権限を持つ場合、設定画面に不正アクセスし、識別番号等の設定を改ざんできる可能性がある。この脆弱性については、CVSS 4.0 基本値 8.8、CVSS 3.1 基本値 9.1 の高い深刻度が示されている。

2つ目は、重要な機能に対する認証の欠如に関する脆弱性であり、CVE番号は「CVE-2026-67578」として公開されている。一部の設定項目について、認証が実施されていない、または認証不要で設定変更が可能となっており、認証情報を持たない第三者であっても、当該製品が接続されたネットワーク経由で設定を変更できる可能性がある。この脆弱性については、CVSS 4.0 基本値 8.7 の深刻度が示されている。

ハードコードされた認証情報とは、機器やソフトウェアの中にあらかじめ固定のIDやパスワード等が埋め込まれている状態を指し、利用者側で変更できないか、あるいは変更されずに残り続けることによって、第三者による不正アクセスのリスクが高まる。

また、認証欠如は、本来は利用者の確認（ログインなど）を必要とする操作や機能に対して、その確認が行われない、あるいは不十分である状態を意味する。今回の公表内容では、FA-50にこうした性質の問題が存在し、一部の設定項目について認証なしに変更可能な状況が指摘されている。

JVNやメーカーが公表した情報によれば、攻撃者が当該製品の接続されたネットワークにアクセスでき、ハードコードされた認証情報を知っている場合、設定画面を操作して識別番号等を改ざんすることが可能とされている。一方で、現時点の公表情報では、これらの脆弱性を悪用した具体的な被害事例の有無や、どの程度の範囲で実際に悪用されているかについては明示されていない。したがって、現時点で確認できる事実は、FA-50の全バージョンに対し「固定の認証情報の使用」と「重要な機能に対する認証の欠如」という2種類の脆弱性が存在し、識別番号等の設定改ざんにつながる可能性があるという点までであり、実被害の詳細は現時点で不明である。

影響と背景

認証情報が固定であることや認証が欠けていることは、機器へのアクセス管理に関わる問題として位置づけられる。特に、機器の利用者が意図しない第三者による操作を防ぐうえで、認証は基本的な仕組みであり、認証情報の管理や認証の有無は安全性に直結する。

FA-50は船舶の自動識別装置（AIS）として、船舶の識別番号や位置情報などの設定・送信に関わる機器であるため、設定画面に対する不正アクセスや認証欠如による設定変更は、船舶の識別情報改ざんや誤った情報送信につながるおそれがある。こうした改ざんは、海上交通の安全性や運航管理、他船舶や港湾施設側の状況把握に影響を及ぼす可能性がある。

本件は、製品やシステムにおける「認証」という土台の設計・実装が問われるタイプの脆弱性として報じられており、CVE番号やCVSSスコアが付与されるなど、国際的な脆弱性情報データベースに登録されている。IPAやJPCERT/CCからは、JVNを通じて脆弱性の内容と影響範囲が示されており、米国CISAなど海外の機関からもFA-50に関するアドバイザリが公開されている。

対策・今後の展望

• まず、自組織・自船でFA-50を使用しているかを棚卸しし、設置場所や管理担当、接続状況を把握する。FA-50が接続されているネットワークの構成（内部ネットワークか、外部ネットワークとの接続の有無等）も確認し、不要な外部からのアクセス経路がないかを点検する。
• 次に、機器の管理手順（設定変更の権限、保守作業時の手順、外部からのアクセス可否の確認）を文書化し、関係者間で認識を揃える。設定画面へのアクセス権限を持つ利用者を限定し、共有アカウントの使用を避けるなど、認証情報の管理を強化する。
• あわせて、ベンダー（古野電気株式会社）や保守事業者から提供される情報（注意喚起、設定変更の案内、更新情報等）を定期的に確認できる体制を作る。メーカーからは、本脆弱性に関する注意喚起や推奨される対策が案内されているため、最新の情報を入手し、必要な設定変更やネットワーク構成の見直し、ソフトウェア更新などを検討・実施することが望ましい。

CSRIからの現場アドバイス

【観点①：現場で何が起きているか】CSRIが支援する中小企業の診断では、ネットワーク機器や現場設備で「初期設定のまま」「共有アカウントのまま」といった認証管理の弱さが多く見つかる。MDRでも、管理画面への不自然なログイン試行が断続的に続くアラートが目立つ。FA-50のようにハードコードされた認証情報や認証欠如の問題がある機器では、こうした認証管理の弱さが攻撃の足がかりとなる可能性がある。

【観点②：平易な解説】例えるなら、建物の裏口に「最初から合鍵が貼り付けてある」状態がハードコード認証情報、鍵をかけずに出入りできるのが認証欠如だ。つまり、正しい利用者か確かめない仕組みがあると、意図しない操作を防ぎにくいということになる。FA-50における脆弱性も、認証情報が固定されていることや一部の重要な設定項目で認証が行われないことによって、第三者が設定画面にアクセスしやすくなっている点が問題である。

【観点③：今週中にできること】まず資産台帳を見直し、FA-50を含む現場機器の型番と管理者を確定させる。次に、管理画面や設定変更の手順が誰でもできない運用になっているかを担当者と確認し、必要なら権限者を限定する。最後に、ベンダー連絡先と保守窓口を共有して更新情報の受け取りを徹底し、IPAやJPCERT/CC、メーカー、関係する海事当局などが発信する注意喚起・アドバイザリを継続的に確認する体制を整える。

参照: 古野電気製 FA-50（簡易型船舶自動識別装置）にハードコードされた認証情報使用および認証欠如の脆弱性