リコー製Web Image Monitorを実装している複数のレーザープリンタおよび複合機（MFP）における反射型クロスサイトスクリプティング（XSS）の脆弱性

独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は、リコー製Web Image Monitorを実装している複数のレーザープリンタおよび複合機（MFP）に、反射型クロスサイトスクリプティングの脆弱性が存在するとJapan Vulnerability Notes（JVN）で公表した。

脆弱性の詳細

株式会社リコーが提供するWeb Image Monitorは、レーザープリンタや複合機（MFP）本体内部で動作するウェブサーバであり、本件は反射型クロスサイトスクリプティング（CWE-79）の脆弱性である。細工されたURLにアクセスしたユーザのウェブブラウザ上で、任意のスクリプトを実行される可能性がある。脆弱性にはCVE-2026-56809が割り当てられており、CVSS v4.0では「CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N（基本値 5.1）」、CVSS v3.0では「CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N（基本値 6.1）」と評価されている。

この脆弱性情報は、Pentest LimitedのTomasz Holeksa氏が製品開発者（株式会社リコー）に直接報告し、その後、製品利用者への周知を目的に製品開発者がIPAに報告し、JPCERT/CCとの調整を経てJVNでの公表に至っている。攻撃ベクタとしては、Web Image Monitorにアクセスしている状態のユーザに対し、細工されたURLを踏ませることでブラウザ上で任意のスクリプトを実行させる形態となる。悪用に成功した場合、ブラウザ上のセッション情報や表示内容の改ざん、フィッシングサイトへの誘導など、ブラウザコンテキスト内での攻撃が可能になるが、プリンタ／MFP本体のファームウェア自体が直接改ざんされるわけではないとされている。

影響を受ける製品・バージョン

• リコー製Web Image Monitorを実装している複数のレーザープリンタ
• リコー製Web Image Monitorを実装している複数の複合機（MFP）
• 注意：対象となる具体的な機種名およびファームウェア／ソフトウェアのバージョンは、JVNのアドバイザリ（JVN48718197）および株式会社リコーが公表するセキュリティ情報に記載された一覧で確認する必要がある。

推奨される対策

• 修正版の適用：JVNおよびベンダー（株式会社リコー）が案内する情報に従い、該当機種のファームウェア／ソフトウェアを脆弱性修正済みの最新版へ更新する。リコーは本脆弱性に対する修正を含むアップデートを提供しており、影響を受ける機種を利用している場合は速やかな適用が推奨される。
• 管理画面へのアクセス制御：Web Image Monitor（管理画面）へアクセスできる端末やネットワークを限定し、インターネットなど社外から直接到達できる構成を避ける。社内ネットワークからのアクセスであっても、管理用端末や特定セグメントに限定することが望ましい。
• 不要機能の停止：運用上不要な管理機能・サービスが有効な場合は無効化し、露出面を減らす。特に外部からアクセスされる可能性がある機能については、必要性を再確認したうえで停止を検討する。
• 利用者への注意喚起：管理者・利用者に対し、不審なリンクを開かないこと、メールやチャット等で送付されたURLが正当な管理画面へのアクセスであるかを確認すること、想定外の画面遷移や警告表示が出た場合は操作を中断して情報システム担当に連絡することなど、基本的なセキュリティ行動を周知する。

日本の中小企業が今すぐ取るべき行動

• 最優先：社内に設置されているリコー製プリンタ／MFPの機種名とWeb Image Monitorの利用有無、管理画面の公開範囲（社内のみ／社外到達）を棚卸しする。特にインターネットから到達可能な構成になっていないかを確認する。
• 次に：JVNの対象製品一覧およびリコーのセキュリティアドバイザリと照合し、該当する場合は修正版の適用計画（担当者、手順、作業時間帯、影響範囲）を決めて速やかに更新する。
• 並行して：更新完了までの間、管理画面へのアクセスを社内ネットワークや管理端末に限定する、VPNやゼロトラスト的なアクセス制御を導入するなど、暫定的なアクセス制御を行う。可能であれば、管理画面へのアクセスログを確認し、過去に不審なアクセスがないかも点検する。
• 最後に：更新後、管理画面の動作確認と設定（管理者パスワードの強度と変更履歴、アクセス制限設定、ログ取得設定）を再点検し、対応手順と設定方針を社内ドキュメントとして整備・共有する。定期的な脆弱性情報の収集と、プリンタ／MFPを含むネットワーク機器のアップデート方針を明文化しておくことが望ましい。

CSRIからの現場アドバイス

実際のペネトレーションテストでは、プリンタやMFPの管理画面が「社内だから安全」とみなされ、長期間にわたりファームウェア更新や設定見直しが行われないまま運用されている例が目立つ。診断報告書でよく指摘されるのが、管理画面へのアクセス制限不足と、脆弱性対策情報の未追跡である。今回のようにJVNやベンダーから正式な脆弱性情報が公開されている場合、それを運用に反映できるかどうかが、組織のセキュリティ成熟度を測る指標にもなりうる。

例えるなら、受付に「この紙に名前を書いてください」と置かれた用紙に、悪意あるメモが紛れ込み、それを見た人のブラウザが勝手に動くようなものだ。つまり、管理画面を開いた人の操作や情報が、意図せず第三者に利用されるおそれがあるということだ。Web Image Monitorへのアクセスそのものは正規の操作であっても、URLに細工が施されていると、ユーザのブラウザコンテキストで攻撃コードが動作しうる点に注意が必要である。

まず社内の該当機種を洗い出し、管理画面が社外から見えていないか（社内限定か）を確認する。次に担当者または保守ベンダーへ、JVNの対象可否と修正版の有無、更新手順を照会し、可能であれば今週中など具体的な期限を設けて適用日程を確定する。そのうえで、今後もJVNやベンダーのセキュリティ情報を継続的に確認し、プリンタ／MFPを含む機器を「ネットワークに接続されたIT資産」として管理する体制を整えることが重要である。

参照: リコー製Web Image Monitorを実装している複数のレーザープリンタおよび複合機（MFP）における反射型クロスサイトスクリプティングの脆弱性