PFU製スキャナドライバの脆弱性とは？影響と対策を解説（2026年9月29日公表）

フィッシングPFUセキュリティ速報アカウント乗っ取り不正ログインパスワード流出二段階認証スキャナドライバLinuxOSコマンドインジェクションファームウェア更新

PFU Limitedが配布するスキャナ用ソフト「Image Scanner Driver for Linux」（fiシリーズ・SPシリーズ）に、ローカルログインを必要とする2つの脆弱性が公表されました（CVE-2026-78229・CVE-2026-81310）。JVNの公表日は2026年9月29日です。対策は、PFUのダウンロードサイトから最新版を入手してアップデートすることです。

出典: JVN

・2026年9月29日公表 /

出典: PFU（脆弱性情報 PFU-2026-000001）

・2026年9月29日13時00分告知 /

出典: JVNDB

・2026年9月30日初掲

何が起きたか（要点）

公表された脆弱性は2件です。OSコマンドインジェクション（CVE-2026-78229・CWE-78・CVSS v3.1 基本値6.7／v4.0 5.4）と、ファイルアクセス時のリンク解釈が不適切（CVE-2026-81310・CWE-59・CVSS v3.1 基本値6.6／v4.0 5.2）です（出典: JVN・2026年9月30日取得）。

• CVE-2026-78229: 該当ドライバがインストールされたLinux機にログインできる攻撃者が、事前に細工することで任意のOSコマンドをシステム上で実行できる恐れがあります。
• CVE-2026-81310: 同じくログインできる攻撃者が、事前に特殊な手法を使うことでシステム内の任意のファイルを上書きできる恐れがあります。

ローカルログインを必要とする脆弱性ですが、業務PC・共用サーバなど複数人がログインできるLinux環境でスキャナドライバを使っている場合、同じ端末にログインできる第三者が任意のコマンド実行やファイル上書きを通じて、端末内の認証情報やファイルを奪う入口になり得ます。

攻撃が成立する条件

JVNとPFUの告知によると、攻撃は当該ドライバがインストールされたLinuxシステムにログイン可能な攻撃者が、事前に細工することで成立します（CVSSの攻撃ベクトルはAV:L＝ローカル）。ネットワーク経由で遠隔から自動的に攻撃される型ではありません（出典: JVN・PFU・2026年9月30日取得）。

現時点で、JVN・PFUのいずれの告知にも実悪用の確認は記載されていません。報告者はCipher Security LabsのNir Yehoshua氏で、開発者との調整の上、JPCERT/CC経由で公表されました（調整済み公開）。

影響する製品とバージョン

• Image Scanner Driver for Linux（fiシリーズ）: V2.0.0・V2.1.0・V2.1.1・V2.3.2・V2.5.0・V2.7.0・V2.7.1・V2.8.0・V2.8.1・V2.8.2
• Image Scanner Driver for Linux（SPシリーズ）: V2.0.0・V2.1.0・V2.1.1・V2.1.1-4・V2.2.0・V2.2.1・V2.2.2・V2.3.0

修正版の具体的なバージョン番号は、JVN・PFUのいずれの告知にも記載がありません（公式未公表）。PFUは「ダウンロードサイトから最新版を入手しアップデート」と案内しています（出典: PFU・2026年9月30日取得）。

運用者と個人が今すべきこと

• Image Scanner Driver for Linuxをfi・SPシリーズの該当バージョンで使っている場合、PFUのダウンロードサイトから最新版を入手してアップデートします。
• 共用のLinux端末やサーバにドライバを入れている場合、ログインできるユーザの整理と、端末内の認証情報（キーリング・ファイル権限）の保護状況を確認します。
• アップデート後にスキャナが動かない場合、ドライバの再インストールとPFUの告知ページの変更確認をします。

よくある質問

Q. CVE-2026-78229とは何ですか？

PFU製Image Scanner Driver for Linuxに公表されたOSコマンドインジェクション（CWE-78）です。CVSS v3.1の基本値は6.7。ログイン可能な攻撃者が事前に細工することで、任意のOSコマンドを実行できる恐れがあります（出典: JVN・2026年9月29日公表）。

Q. 影響を受ける製品はどれですか？

Image Scanner Driver for Linuxのfiシリーズ（V2.0.0からV2.8.2までの10版）とSPシリーズ（V2.0.0からV2.3.0までの8版）です。該当バージョンの一覧はJVNの公表にあります。

Q. 対策はどうすればよいですか？

PFUのダウンロードサイトから最新版を入手してアップデートしてください。修正版のバージョン番号は告知に記載がなく、ダウンロードサイトで最新の情報を確認できます。

Q. 攻撃は発生していますか？

JVN・PFUの告知には、実悪用の確認は記載されていません（2026年9月29日公表時点）。ただし脆弱性自体は実在するため、該当環境は最新版への更新で対策してください。

ROOT TEAMは、アカウント乗っ取り被害の調査と復旧を支援しています。業務端末やサーバの脆弱性対応で不安な場合はご相談ください。

この記事は AI が一次ソースを読んで執筆しました。数値と日付は出典に記した公式情報の執筆時点の値です。誤りを見つけたら訂正の窓口へお知らせください。確認のうえ本文を直し、訂正履歴に残します。編集方針