リコー製Web Image MonitorにXSSの脆弱性、複数のプリンター・複合機に影響

JVN#48718197: リコー製Web Image Monitorを実装している複数のレーザープリンタおよび複合機(MFP)における反射型クロスサイトスクリプティングの脆弱性

元記事は一次情報へのリンクです元記事を読む

5行でつかむ要点

JPCERT/CCとIPAは2026年6月30日、リコー製Web Image Monitorを実装した複数のレーザープリンタ・複合機(MFP)に反射型XSSの脆弱性(CVE-2026-56809)があると公表した。

CVSS基本値は3.0で6.1、4.0で5.1と中程度で、細工されたURLにアクセスさせることで任意のスクリプトを実行される可能性がある。

Web Image Monitorはプリンターの状態確認や設定変更に使う管理コンソールで、企業のオフィス機器に広く組み込まれている。

社内でリコー製プリンター・複合機を運用する情報システム部門は、管理画面のURLを不用意に開かせない周知が求められる。

対象機種とファームウェアの対応版はモデルごとに異なるため、リコーの案内ページで型番を突き合わせて確認する必要がある。

クリック一つで起きること

リコー製Web Image Monitorを実装した複数のレーザープリンタ・複合機に、反射型クロスサイトスクリプティングの脆弱性(CVE-2026-56809、CWE-79)が見つかりました。攻撃者が用意した細工済みのURLを社内の担当者がメールなどで開いてしまうと、ブラウザ上で任意のスクリプトが実行される可能性があります。CVSS基本値は3.0で6.1、4.0で5.1と中程度に位置づけられています。

見落とされがちな「Webサイト」

プリンターの管理画面は日常的にアクセスするものではないため、社内のWeb資産として意識されにくい機器です。しかしWeb Image MonitorはWebブラウザで動く以上、通常のWebアプリケーションと同じ種類の脆弱性が生じます。今回はPentest Limited社のTomasz Holeksa氏が発見し、JPCERT/CCとIPAがJVNを通じて調整・公表しました。

オフィス機器の棚卸しを見直す機会

PCやサーバーのパッチ適用は意識されやすい一方、プリンターや複合機は「たまにしか触らない」という理由で更新が後回しにされがちです。対策はWeb Image Monitorを最新版へアップデートすることで、対象機種はJVNの公表ページおよびリコーの案内で確認できます。今回のような注意喚起が出たタイミングは、ネットワークに接続されたオフィス機器全体を棚卸しする良い機会になります。