チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「複合機にも脆弱性があるのですか？」
「管理者権限が必要な攻撃なら安全と考えていいのでしょうか？」
チップスボス、オフィスのコピー機からも情報が抜かれるなんて、ちょっと信じられないでしゅ…
ボスキヤノン複合機の新しい脆弱性だな。管理画面から内部のアドレス帳が抜かれるタイプだ。軽く見ないほうがいい。
複合機・プリンターは「ただの周辺機器」ではなく、社内アドレスや文書を抱える立派なIT資産です。
本記事ではJPCERT/CCが2026年5月11日に公表したCVE-2026-1789の中身と、現場で取るべき対応を解説します。
業務の裏で動き続ける機器こそ、攻撃者にとって美味しい入り口になります。記事を最後まで読み、自社の運用を点検してください。
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
2026年5月11日に公開されたJVNVU#90878203の要点を整理します。
対象はキヤノン製のプロダクションプリンター、オフィス向け複合機、スモールオフィス向け複合機です。
JPCERT/CCは脆弱性区分をCWE-807「信頼できない入力値への依存」とし、CVSS v4.0で6.9と評価しています。
キヤノン公式も2026年4月23日付の告知でファーム更新の必要性を示しています。
脆弱性の主要スペックは次のとおりです。
| 項目 | 内容 |
|---|---|
| CVE | CVE-2026-1789 |
| CVSS v4.0 | 6.9（中） |
| CWE | CWE-807 |
| 影響 | 機微情報の取得（アドレス帳など） |
| 必要権限 | 管理者権限 |
攻撃成立には管理画面への管理者ログインが前提です。
ただしデフォルト管理パスワードの放置やインターネット直結運用が組み合わさると、外部からの侵入は十分に現実的になります。
侵入後は細工したリクエストでアドレス帳や宛先情報が取得され、フィッシングや標的型攻撃の踏み台にされる恐れがあります。
チップスパスワードを初期のまま使ってる現場って、まだ結構ありそうでしゅ…！
狙われやすいシナリオは次のとおりです。
パッチ適用と運用設計の両輪で守るのが現実的です。
まず実施すべきは、キヤノンが公開したファームウェア更新の適用です。
続いて管理者パスワードの強化、デフォルトアカウントの無効化を急ぎ実施してください。
外部からアクセス可能な機器がないか、グローバルIP棚卸しを同時に行うのが効果的です。
初動対応のチェック項目はこちらです。
キヤノン公式のサポートページで自社モデルが対象か確認。
修正版ファームを適用し、再起動後の挙動を点検。
グローバルIP直結を避け、ファイアウォール配下に収納。
複合機は更新を忘れがちな機器の代表格です。
機器ごとのファーム適用記録を残し、IT資産台帳に組み込む運用が再発防止につながります。
アドレス帳の定期棚卸しや、不要な宛先データの削除も併せて検討してください。
ボス複合機を「IT資産」として扱えるかどうか、そこに組織のセキュリティ成熟度が出るんだな。
長期で押さえたい運用ポイントは次のとおりです。
公式情報はJVN VU#90878203を参照してください。
CVE-2026-1789は管理者権限が前提とはいえ、運用次第で外部から容易に狙われる脆弱性です。
複合機やプリンターは長く現場に置かれ、更新が後回しになりやすい盲点でもあります。
機器すべてを攻撃面として捉え、定期更新と権限管理を当たり前にする一歩を踏み出してください。
ボス古いコピー機ひとつから情報が抜かれることもある。地味な管理を続けた組織だけが守られるものだ。
チップス明日からファーム更新の予定表、ちゃんと作るでしゅ！
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
