# ヤマハのVPNソフト、Windows側の権限不備を更新

Canonical: https://security.qutori.jp/article/yamaha-yms-vpn8-windows-oct2026.html
Language: ja
編集・日本語要約: バグマゲドン対策委員会
本ページ内容更新日: 2026-10-29

YMS-VPN8とYMS-VPN8-CPのWindowsサービス設定に不備が公表されました。端末を操作でき、必要な書き込み権限を持つ攻撃者が、高い権限で不正な処理を動かすおそれがあります。

日本語要約・編集：バグマゲドン対策委員会。本記事公開：2026-10-29 / 本記事更新：2026-10-29 / 原文確認：2026-10-29。

原文発行：JVN / ヤマハ / 原文公表：2026-10-28。

## 対象と影響

在宅勤務などに使うWindows端末のVPNソフトを確認してください。VPN装置そのものへの遠隔攻撃ではなく、端末内の問題です。アプリの画面を閉じていても影響は除外できません。

## 自社で確認すること

端末の管理担当へ、YMS-VPN8／CPのVer.1.07.00への更新を確認する。

1. Windows端末でYMS-VPN8またはYMS-VPN8-CPを使っているか確認する。Ver.1.04.00以前が対象。
2. 公式の案内に従い、対策版Ver.1.07.00へ更新する。
3. すぐ更新できない場合は端末の共用を避け、不要な管理者権限を付与しない。不明なファイルを実行せず、不審な設定変更は管理者へ相談する。

## 攻撃の流れと防御の確認箇所

対象Windows端末を操作できる状態 → Windowsサービスの設定不備 → 高い権限で不正な処理

防御の確認箇所：Windows側のVPNソフトを対策版へ

## 優先度の考え方

対象端末を確認。対象端末を操作できるなどの前提があるため、インターネットから直接侵入できる問題とは区別。JVNのCVSS4.0基本値8.4とは別に、対象端末の更新を編集上の確認事項としています。

優先度は編集上の判断です。公式CVSSや、自社への実際の影響の確定とは区別してください。

## 原文で言及されたCVE

- [CVE-2026-97860](https://www.cve.org/CVERecord?id=CVE-2026-97860)

- [タイムラインで関連情報を探す](https://security.qutori.jp/timeline.html)

## 報告の範囲

対象版VPNソフトを導入したWindows端末。発信元を示し、被害発生地域や攻撃元を示すものではありません。

## 原文と確認箇所

- [JVN / ヤマハ — ヤマハ製YMS-VPN8およびYMS-VPN8-CPにおける引用符で囲まれていないファイルパスの脆弱性](https://jvn.jp/jp/JVN30675482/index.html)
- [追加の一次資料](https://www.rtpro.yamaha.co.jp/RT/FAQ/Security/JVN30675482.html)

JVNの公開・最終更新日とヤマハFAQの更新履歴は2026/10/28。JVNでシステムドライブへの書き込み権限が前提と確認。ヤマハFAQはWindows端末の問題、ルーター等自体は対象外、導入済み端末も対象、公開時点で攻撃発生は未確認と説明。

海外の公的機関・ベンダーの一次情報を確認し、日本の小規模企業向けに独自要約。全文翻訳ではありません。対策優先度と小規模企業への影響は編集上の判断で、公式CVSSとは区別しています。

- [ニュース一覧](https://security.qutori.jp/news.html)
- [出典・編集方針](https://security.qutori.jp/about.html)