サイバーセキュリティ

シャープ製および東芝テック製複合機（MFP）における複数の脆弱性

シャープ株式会社および東芝テック株式会社が提供する複合機（MFP）に、ユーザー認証回避（CWE-425）、キャッシュファイルの不完全なクリーンアップ（CWE-459）、初期設定でのユーザー認証無効（CWE-1188）の複数の脆弱性が存在することがJVNから公開されました。これらの脆弱性により、閲覧権限のない画像の取得や、ユーザー認証なしでのアドレス帳編集・ドキュメントファイリング機能の使用などの影響が想定されます。各製品開発者が提供する情報に基づき、ファームウェアのアップデートやワークアラウンドの実施が推奨されています。日本国内向けの製品はCWE-1188の影響を受けません。

この発表の要点

シャープ製および東芝テック製複合機に複数の脆弱性が確認された。
脆弱性により、ユーザー認証回避や情報漏洩のリスクがある。
ファームウェアのアップデートまたはワークアラウンドの適用が推奨される。

企業・自治体への影響

複合機を利用する企業や自治体は、情報漏洩や不正アクセスといったセキュリティリスクに直面する可能性があります。特に、機密文書を扱う部門や、複合機を共有利用するオフィス環境では、早急な対応が求められます。

対応すべきこと

自社が利用するシャープ製または東芝テック製複合機が影響対象か、ベンダーの告知ページで確認する。
影響を受ける場合は、ベンダーが提供するファームウェアのアップデートを計画・実施する。
CVE-2026-63563については、ベンダーの指示に従いワークアラウンドを適用する。
海外拠点がある場合は、CVE-2026-63563の影響範囲と設定状況を確認する。

対象部門： 経営者総務情シス広報

対応期限：速やかに確認

基本データ

企業・団体	JPCERT/CC
業界	製造
発表日	2026-07-31
分類	サイバーセキュリティ

発表された内容

公開日：2026/07/31 最終更新日：2026/07/31

JVNVU#98759887
シャープ製および東芝テック製複合機（MFP）における複数の脆弱性

シャープ製および東芝テック製の複合機（MFP）には、複数の脆弱性が存在します。

影響を受ける製品、モデル番号、バージョンなどの詳細については、各製品開発者が提供する情報をご確認ください。

シャープ株式会社および東芝テック株式会社が提供する複数の複合機（MFP）には、次の複数の脆弱性が存在します。

細工されたURLによってユーザー認証を回避される（CWE-425）

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N 基本値 6.9
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N 基本値 5.3
CVE-2026-60011

キャッシュファイルの不完全なクリーンアップ（CWE-459）

CVSS:4.0/AV:P/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N 基本値 2.4
CVSS:3.1/AV:P/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N 基本値 2.4
CVE-2026-63545

初期設定ではユーザー認証機能が無効にされている（CWE-1188）

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N 基本値 6.9
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N 基本値 6.5
CVE-2026-63563
特定の地域向けに提供された製品の初期設定ではユーザー認証機能は無効にされており、アドレスブックの編集操作やドキュメントファイリング関連の機能はユーザー認証なしに使用可能になっています。
日本国内向けの製品は、本脆弱性の影響を受けません。

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

閲覧権限のない画像を取得される（CVE-2026-60011）
プリント時に当該製品内部にキャッシュされたファイルが削除されないまま残り、別のユーザーにアクセスされる（CVE-2026-63545）
当該製品を初期設定のまま使用している場合、アドレスブックの編集操作やドキュメントファイリング関連の機能などをユーザー認証なしに使用される（CVE-2026-63563）

CVE-2026-60011、CVE-2026-63545
アップデートする
各製品開発者が提供する情報をもとに、ファームウェアをアップデートしてください。

CVE-2026-63563
ワークアラウンドを実施する
各製品開発者が提供する情報をもとに、軽減策を適用してください。

詳しくは、[ベンダ情報]に掲載の各製品開発者が提供する情報を参照してください。

ベンダ
ステータス
ステータス最終更新日
ベンダの告知ページ

シャープ株式会社

該当製品あり

2026/07/31

シャープ株式会社の告知ページ

東芝テック株式会社

該当製品あり

2026/07/31

東芝テック株式会社の告知ページ

CVE-2026-60011およびCVE-2026-63563は、以下の方がシャープ株式会社に直接報告しました。
・CVE-2026-60011：Cyber 50 Defense Mohamed Abdelhady 氏
・CVE-2026-63563：John Jackson 氏

CVE-2026-63545は、シャープ株式会社がJPCERT/CCに報告しました。

JPCERT 緊急報告

JPCERT REPORT

CERT Advisory

CPNI Advisory

TRnotes

CVE

CVE-2026-60011

CVE-2026-63545

CVE-2026-63563

JVN iPedia

出典: jvn@jvn.jp
URL: https://jvn.jp/vu/JVNVU98759887/

時系列

2026-07-31　JVNがシャープ製および東芝テック製複合機における複数の脆弱性を公開
2026-07-31　シャープ株式会社および東芝テック株式会社が脆弱性に関する告知ページを更新

主な数値

脆弱性の種類	3種類
CVE ID	3件
CWE-425 CVSSv4.0基本値	6.9点
CWE-425 CVSSv3.1基本値	5.3点
CWE-459 CVSSv4.0基本値	2.4点
CWE-459 CVSSv3.1基本値	2.4点
CWE-1188 CVSSv4.0基本値	6.9点
CWE-1188 CVSSv3.1基本値	6.5点

この事例から確認すべきポイント

本発表は、シャープおよび東芝テック製の複合機における複数の脆弱性について、JVNが注意喚起を行ったものである。特に、ユーザー認証回避や初期設定での認証無効化といった脆弱性は、複合機が持つ機密情報の漏洩や不正利用に直結するリスクをはらむ。企業は、自社が利用する複合機のモデルが影響を受けるかを確認し、速やかにベンダーが提供するファームウェアのアップデートやワークアラウンドの適用を検討する必要がある。特に、CVE-2026-63563については、特定の地域向け製品で初期設定がユーザー認証無効となっている点が指摘されており、日本国内向け製品は影響を受けないものの、海外拠点での利用状況や設定状況の確認が重要となる。複合機はオフィス環境において重要な情報機器であり、セキュリティ対策の徹底が求められる。

公式出典

JPCERT/CC

更新履歴

公開日: 2026-07-31