独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は、ヤマハ製YMS-VPN8およびYMS-VPN8-CPにおける「引用符で囲まれていないファイルパス」の脆弱性をJapan Vulnerability Notes（JVN）で公表した。
事案の詳細
IPAおよびJPCERT/CCは、ヤマハ株式会社が提供するYMS-VPN8およびYMS-VPN8-CPに関する脆弱性情報をJVNで公表した。脆弱性は、GMOサイバーセキュリティ byイエラエ株式会社の松本一真氏から報告された。
YMS-VPN8およびYMS-VPN8-CPには、Windowsサービスとして登録されるプログラムのファイルパスが引用符で囲まれていない問題が存在する。システムドライブへの書き込み権限を持つユーザーによって、SYSTEM権限で任意のコードを実行される可能性がある。
影響を受ける製品は、YMS-VPN8 Ver.1.04.00およびそれ以前、ならびにYMS-VPN8-CP Ver.1.04.00およびそれ以前である。JVNでの公表は10月28日（JVN#30675482）。CVE番号はCVE-2026-97860で、CVSS v4.0の基本値は8.4、v3.0では6.7。悪用には、対象の端末でシステムドライブへの書き込み権限を持っていることが前提で、ネットワーク越しに直接悪用されるものではない。
影響と背景
本脆弱性は、Windowsサービスとして登録されるプログラムのファイルパスが引用符で囲まれていないことに起因する。システムドライブへの書き込み権限を持つユーザーが、サービスの起動時にSYSTEM権限で任意のコードを実行できる可能性がある。
影響を受けるのは、YMS-VPN8 Ver.1.04.00およびそれ以前、ならびにYMS-VPN8-CP Ver.1.04.00およびそれ以前である。
対策・今後の展望
利用者は、開発者が提供する情報に従い、ソフトウェアを修正版へ更新する必要がある。脆弱性は、YMS-VPN8 Ver.1.07.00およびYMS-VPN8-CP Ver.1.07.00で修正されている。
ソフトウェアを更新できない場合、開発者は次の回避策を推奨している。
- Windowsパソコンを他の利用者と共用しない
- 信頼できない利用者にログインさせない
- 管理者権限を必要としない利用者へ付与しない
- 入手元が不明なファイルやプログラムを実行しない
CSRIからのアドバイス
同種の事案で押さえるべきポイント：Windowsのサービス設定や起動設定に起因する問題は、端末のローカル権限や書き込み権限の扱いと結びつきやすい。運用中のソフトウェアを更新できない場合でも、権限管理や利用者のログイン制御がリスク低減の要点になる。
セキュリティ専門家でない人への平易な解説：機械の設置場所の住所を「かぎ括弧」で囲まずに書いたため、別の場所として解釈されてしまうようなものだ。条件がそろうと、本来より強いSYSTEM権限で動く仕組みを悪用される可能性がある。
中小企業が今週中にできること：利用中のYMS-VPN8およびYMS-VPN8-CPのバージョンを確認し、Ver.1.04.00およびそれ以前に該当しないかを整理する。該当する場合は、Ver.1.07.00への更新可否を確認し、更新できない場合は端末の共用を避け、不要な管理者権限を付与しない運用を徹底する。
参照: JVN#30675482 ヤマハ製YMS-VPN8およびYMS-VPN8-CPにおける引用符で囲まれていないファイルパスの脆弱性／ヤマハ製 YMS-VPN8 および YMS-VPN8-CP に引用符で囲まれていないファイルパスの脆弱性