【注意喚起】リモート接続装置「Array AG」の弱点、国内で社内ネットワークへの侵入も

01何が起きているか

米Array Networks社のリモートアクセスリモートアクセス会社の外から、会社のパソコンやネットワークにつなぐこと。VPN やリモートデスクトップなどの方法があり、ここが攻撃の入り口になりやすいです。用語集で語源も見る装置「Array AGシリーズ」で、遠隔デスクトップデスクトップパソコンを起動したときに出てくる、最初の画面。また、つくえに置いて使う大きめのパソコンのこともこう呼びます。用語集で語源も見る機能「DesktopDirect」を有効にしている場合に、外部から命令を実行されるおそれのある弱点が見つかりました。JPCERT/CCJPCERT/CC（ジェーピーサート・シーシー）日本のサイバー事件の連絡や調整をする組織。被害の相談を受けたり、注意をよびかけたりしています。用語集で語源も見るは2025年12月3日に注意喚起を出し、2025年8月以降、国内の組織から攻撃の報告を受けていると明らかにしました。機器への不正なプログラムプログラムコンピューターにさせたい仕事を、順番どおりに書いた命令書。運動会の「プログラム（進行表）」のように、やることが順にならんでいます。用語集で語源も見る（Webシェル）の設置、勝手なユーザーの作成、機器を経由した社内ネットワークネットワークパソコンや機械どうしをつないで、データをやりとりできるようにしたもの。用語集で語源も見るへの侵入が確認されています。

02何が危ないのか

修正版は2025年5月に出ていましたが、更新されていない機器（ArrayOS AG 9.4.5.8以前）が狙われました。注意喚起の時点ではCVE番号CVE（シーブイイー）世界で見つかったソフトの弱いところ（脆弱性）一つひとつにつける番号。「CVE-2024-12345」のように、だれが見ても同じものだと分かります。用語集で語源も見るは付いていませんでした。

03中小企業がとるべき対処方法

1. 保守業者に、ArrayOS AGを修正版（9.4.5.9以降）に更新してもらう
2. DesktopDirectなど、使っていない機能は止める
3. 機器に見覚えのないユーザーや不審なファイルファイルパソコンの中の、1つ1つの書類や写真のまとまり。紙の書類を1まいずつ「とじこみ」に入れるのと同じです。用語集で語源も見るがないか確認する
4. 再起動再起動パソコンやスマホの電源を、いったん切ってもう一度入れなおすこと。アップデートは、再起動してはじめて仕上がることが多いです。用語集で語源も見るするとログログ「だれが、いつ、何をしたか」を記録した日記。事件が起きたとき、何があったかを調べる手がかりになります。用語集で語源も見るが消えることがあるため、更新の前にログを保存する

04関係する診断項目

• E-01SVPN機器・ファイアウォール・ルーターのファームウェアが最新である
• E-06S保守業者のリモート接続経路を把握・管理している
• L-01Aパソコン・サーバー・VPN機器のログを保存している（90日以上目安）
• M-01Sウイルス感染・不正アクセス時の連絡体制（社内・外部専門家・警察）が決まっている

93項目の診断について

05この事例に出てくることば

リモートアクセス

会社の外から、会社のパソコンやネットワークにつなぐこと。VPN やリモートデスクトップなどの方法があり、ここが攻撃の入り口になりやすいです。

ネットワーク

パソコンや機械どうしをつないで、データをやりとりできるようにしたもの。

デスクトップ

パソコンを起動したときに出てくる、最初の画面。また、つくえに置いて使う大きめのパソコンのこともこう呼びます。

JPCERT/CC（ジェーピーサート・シーシー）

日本のサイバー事件の連絡や調整をする組織。被害の相談を受けたり、注意をよびかけたりしています。

プログラム

コンピューターにさせたい仕事を、順番どおりに書いた命令書。運動会の「プログラム（進行表）」のように、やることが順にならんでいます。

CVE（シーブイイー）

世界で見つかったソフトの弱いところ（脆弱性）一つひとつにつける番号。「CVE-2024-12345」のように、だれが見ても同じものだと分かります。

ファイル

パソコンの中の、1つ1つの書類や写真のまとまり。紙の書類を1まいずつ「とじこみ」に入れるのと同じです。

再起動

パソコンやスマホの電源を、いったん切ってもう一度入れなおすこと。アップデートは、再起動してはじめて仕上がることが多いです。

ログ

「だれが、いつ、何をしたか」を記録した日記。事件が起きたとき、何があったかを調べる手がかりになります。

06参照元

• JPCERT/CC（注意喚起）記事を読む（2025-12-03）

本ページは、参照元の報道をもとに当社が要約したものです。正確な内容は参照元と当事者の公表をご確認ください。