HiRDBに認証欠如の脆弱性、Version 10は修正版あり
日立のデータベース製品HiRDBに、重要な機能が認証なしで使える脆弱性が見つかりました。HiRDB Server Version 10と9系を運用している組織が対象です。まず自社の版を確認し、10系は10-12-01へ更新、9系はベンダーの告知で対応方針を確かめてください。
急ぎ度: 早めに
CVSS v3は9.8で認証もユーザー操作も不要ですが、KEVへの掲載はなく、実際の悪用も確認されていません。ただし修正版が示されているのは10系だけです。
関係があるか
HiRDB Serverを業務システムのデータベースとして使っている組織が対象です。特に、ネットワーク上の多くの端末やサーバーからHiRDBに到達できる環境は影響が大きくなります。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| HiRDB Server Version 10 | 10-00以上、10-12-01未満 | 10-12-01 |
| HiRDB Server Version 9 | 09-00以上、09-66-22以下 | 修正版の記載なし |
| HiRDB Server with Additional Function Version 9 | 09-00以上、09-66/V以下 | 修正版の記載なし |
| HiRDB Server Version 9(32) | 09-02以上、09-66-22以下 | 修正版の記載なし |
| HiRDB Server with Additional Function Version 9(32) | 09-00以上、09-66-/V以下 | 修正版の記載なし |
確かめ方
- 1資産台帳や構成管理表で、HiRDBを使っているサーバーを洗い出します。
- 2各サーバーのHiRDBの製品名と版を、日立の製品マニュアルに沿って確認します。32ビット版の表記（9(32)）と、Additional Function付きの製品かどうかも見分けてください。
- 3版が上の表の範囲に入っているかを照らし合わせます。範囲内なら、そのサーバーにネットワーク上のどこから到達できるかもあわせて整理します。
何が起きたか
HiRDBに、認証を経ずに実行できてしまう重要な機能があります。悪用されると、データベースの内容が読まれたり、書き換えられたり、サービスが止められたりするおそれがあります。
分類はCWE-306（重要な機能に対する認証の欠如）で、CVSS v3は9.8です。日立のセキュリティ情報（hitachi-sec-2026-148）と、NVD・GitHub Advisory Databaseに、2026年10月27日付で登録されています。
影響を受けるのはHiRDB Server Version 10の10-12-01より前と、Version 9系の09-66-22まで（Additional Function付きは09-66/Vまで）です。修正版が示されているのはVersion 10の10-12-01です。
攻撃の流れ
-
1
到達できる
HiRDBが動くサーバーに、ネットワーク経由で届く位置に攻撃者がいます。
-
2
認証なしで呼ぶ
ログインに相当する手続きを通らずに、重要な機能を実行します。
-
3
データに触れる
保存されたデータを読む、書き換える、といった操作ができてしまいます。
-
4
業務が止まる
データベースの停止や破損により、依存する業務システムに影響が及びます。
どう悪用されるか
悪用に認証は要りません。ネットワーク越しに到達できれば成立し、利用者の操作も、特別に複雑な条件も要らないと評価されています（CVSSのベクターはAV:N/AC:L/PR:N/UI:N）。
被害は、機密性・完全性・可用性のいずれも高いとされています。つまり、データの漏えい、改ざん、サービス停止のどれもが想定されます。
今すぐやること
-
1
HiRDBの稼働状況と版を洗い出す
本番だけでなく、検証環境や開発用、過去の案件で残っているサーバーも対象に入れます。Additional Function付きと32ビット版も見落とさないでください。
-
2
Version 10は10-12-01へ更新する
10-00以上10-12-01未満を使っている場合は、修正版の10-12-01に更新します。更新前にバックアップを取り、業務への影響を見て停止時間を調整してください。
-
3
Version 9系はベンダーの告知で対応を確かめる
修正版が示されていないため、日立のセキュリティ情報（hitachi-sec-2026-148）を確認します。保守契約の窓口や構築したベンダーにも、対応方針と移行の選択肢を問い合わせてください。
-
4
HiRDBへの到達範囲を絞る
ファイアウォールやネットワーク設計を見直し、HiRDBに接続する必要のあるアプリケーションサーバーなどだけが届くようにします。インターネット側から届く構成になっていないかを最初に確かめてください。
すぐ更新できないとき
日立の告知にある回避策は、ここでは確認できていません。修正版をすぐ当てられない場合は、一般的な対策として、HiRDBへ接続できる端末とネットワークを必要最小限に絞り、不審な接続がないかログを監視してください。
背景
HiRDBは日立のリレーショナルデータベース管理システムです。業務アプリケーションの背後で、受注や顧客、会計などの記録を保管する役割を担うことが多く、利用者が画面から直接触れることは少ないため、更新が後回しになりやすい製品です。
今回の脆弱性では、Version 10に修正版がある一方、Version 9系には示されていません。9系は10より前の版で、長く動かし続けている環境も少なくないと思われます。そうした環境では、更新ではなく接続元の制限や移行計画で当面の備えを組むことになりそうです。
よくある質問
Q.社内ネットワークだけで使っていて、インターネットには公開していません。急がなくてよいですか。
まだ分かっていないこと
- 認証なしで実行できてしまう機能が具体的にどれか、ベンダーの告知では示されていません。実際に悪用された事例があるかも分かっていません。
- Version 9系の修正版が出る予定があるのか、それとも別の対応が案内されるのかは、現時点で分かっていません。最新の状況は日立のセキュリティ情報（hitachi-sec-2026-148）で確認してください。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Hitachi | HiRDB Server Version 10 |
10-00 以上 10-12-01 未満 |
10-12-01 |
| Hitachi | HiRDB Server Version 9 |
09-00 〜 09-66-22 |
— |
| Hitachi | HiRDB Server with Additional Function Version 9 |
09-00 〜 09-66/V |
— |
| Hitachi | HiRDB Server Version 9(32) |
09-02 〜 09-66-22 |
— |
| Hitachi | HiRDB Server with Additional Function Version 9(32) |
09-00 〜 09-66-/V |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Missing Authentication for Critical Function Vulnerability in HiRDB.
This issue affects HiRDB Server Version 10: from 10-00 before 10-12-01; HiRDB Server Version 9: from 09-00 through 09-66-22; HiRDB Server with Additional Function Version 9: from 09-00 through 09-66/V; HiRDB Server Version 9(32): from 09-02 through 09-66-22; HiRDB Server with Additional Function Version 9(32): from 09-00 through 09-66-/V.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web hirt@hitachi.co.jp
- web nvd.nist.gov
- web github.com