MENU
情報漏えい・脆弱性・詐欺の最新情報を、公式発表をもとに
  1. ホーム
  2. 情報セキュリティ
  3. 脆弱性・アップデート
  4. HA8000VのHAモニタオプション脆弱性、Windowsは対象？対策版を整理

HA8000VのHAモニタオプション脆弱性、Windowsは対象？対策版を整理

広告
脆弱性・アップデート
HA8000VのHAモニタオプション脆弱性、Windowsは対象？対策版を整理

日立は2026年10月30日、HA8000V対応の「HAモニタオプション(管理サーバーレス)」に、ローカルアクセスによりOSコマンドインジェクションの攻撃を受けるおそれがある脆弱性（CVE-2026-84726）が見つかったとして、セキュリティ情報 hitachi-sec-2026-213を公開しました。対象は形名 TX-LNY-VSS7BH40／TX-LNZ-VSS7BH40 の RHEL 7・8・9 向けです。この記事は日立のセキュリティ情報とHA8000Vの取扱説明書だけを使い、確認日: 2026年11月6日の内容で整理しました。

【結論】RHEL 7・8でHAモニタオプション(管理サーバーレス)を使っている場合は3.2.6以降、RHEL 9の場合は4.2.6以降へのアップデートが、日立の示す対策です。

  • CVSS 3.1の基本値は7.8(High)。攻撃にはローカルアクセスが前提（AV:L）で、低い権限（PR:L）でも成立しうると評価されている
  • バージョン4.2.5で、iLO管理インターフェース設定がredfishの場合は影響を受けないと日立は記載している
  • Windowsの管理サーバに入れる形名VSS7BH30は、対象製品欄に載っていない。同じ日に出たBIOS（214）・Intel（215）の注意喚起とは別件
目次

CVE-2026-84726の早見表

知りたいこと日立の注意喚起に書かれていること
公表セキュリティ情報 hitachi-sec-2026-213（2026年10月30日 新規作成）
対象製品HAモニタオプション(管理サーバーレス)／形名 TX-LNY-VSS7BH40・TX-LNZ-VSS7BH40
脆弱性の内容ローカルアクセスによりOSコマンドインジェクションの攻撃を受けるおそれ
深刻度Base Score 7.8(High)／CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
影響を受けるバージョンRHEL 7・RHEL 8は3.2.6未満、RHEL 9は4.2.6未満
対策版RHEL 7・RHEL 8は3.2.6以降、RHEL 9は4.2.6以降
影響を受けない例外バージョン4.2.5で、iLO管理インターフェース設定がredfishの場合
入手先・問い合わせHA8000Vダウンロードサイト／製品サポート窓口
悪用の有無注意喚起には記載がない

HAモニタオプションとは？何をする製品か

取扱説明書（4071-1J-104-40、形名 TX-LNY-VSS7BH40/TX-LNZ-VSS7BH40）によると、HAモニタオプションは、HA8000Vサーバで「HAモニタ」をサポートするためのオプション製品です。HAモニタは、システムの可用性を高めるために系切り替えを実現する製品と説明されています。HAモニタオプションが要るのは、HAモニタで「系のリセット」を使う場合だけです。

中身のコンポーネントは「HA Monitor Connector」です。管理対象のサーバに障害が起きたとき、HAモニタからの要求に応じて、そのサーバ（物理サーバ）をリセットする役割を持ちます。

監視パスとリセットパスの2本のネットワーク

  • 監視パス：HAモニタ同士をつなぐネットワーク。OSの死活監視などに使われる
  • リセットパス：HA Monitor ConnectorとiLOのマネジメントインタフェースコネクタをつなぐネットワーク。iLOや電源の状態監視などに使われ、HAモニタからリセット要求があると、ここを通ってiLOにリセットを要求する

取扱説明書は、リセットパスを監視パスや業務用LANなどとは別のネットワークセグメントにすること、iLOはiLO専用ネットワークポートを使い、共有ネットワークポートは使わないことを求めています。

インストール先は、物理サーバ構成なら管理対象サーバ内のOS、仮想サーバ構成ならゲストOSです。rpmパッケージ名はhaconnr2、サービス名はhaconndです。なお「管理サーバーレス」という呼び方は日立の注意喚起の表記で、この取扱説明書には出てきません。

CVE-2026-84726の内容とCVSS 7.8の読み方

日立の説明は、HAモニタオプション(管理サーバーレス)において「ローカルアクセスによりOSコマンドインジェクションの攻撃を受ける恐れがある」というものです。攻撃の手順や、どの機能に問題があるかは書かれていません。OSコマンドインジェクションは、一般に、プログラムに渡した入力がOSのコマンドとして実行されてしまう種類の脆弱性を指します。

深刻度はCVSS 3.1の基本値で7.8(High)です。評価の内訳は次のとおりです。

記号項目意味
AV:L攻撃元区分ローカル。ネットワーク越しではなく、対象システムにローカルでアクセスできることが前提
AC:L攻撃条件の複雑さ低い
PR:L必要な特権レベル低い。管理者権限がなくても成立しうる
UI:Nユーザー関与不要
S:Uスコープ変更なし
C:H/I:H/A:H機密性・完全性・可用性への影響すべて高い

つまり、インターネットから直接狙われる種類とは評価されていませんが、対象サーバに低い権限でアクセスできる立場から攻撃が成立しうるとされ、成立した場合の影響は3項目とも「高」です。

2026年11月6日時点で、NVD（米国の脆弱性データベース）の検索では該当がなく、JVN iPediaも取得できなかったため、両データベースでの内容確認はできていません。現時点の一次情報は日立のセキュリティ情報です。

自分の環境は対象？形名・OS・バージョンの確認手順

注意喚起の対象製品欄と取扱説明書から、次の順に確認できます。

  1. 形名：導入しているHAモニタオプションが TX-LNY-VSS7BH40 または TX-LNZ-VSS7BH40 か。取扱説明書の表紙とインストールCDの名称にこの形名が書かれている
  2. OS：RHEL 7・RHEL 8 か、RHEL 9 か。取扱説明書はRHEL 6も扱っているが、注意喚起の対象製品欄にRHEL 6の行はない
  3. バージョン：root権限が付与されたユーザでログインし、rpm -qa | grep haconnr2 を実行すると、RHEL 7/8では「haconnr2-****.el7v.x86_64」、RHEL 9では「haconnr2-****.el9v.x86_64」の形でパッケージが表示される（取扱説明書のアンインストール手順にある確認方法）
  4. HA Monitor Connectorのバージョンは、/opt/hitachi/haconn2/bin で haconnsetup show version を実行しても表示される（取扱説明書の「バージョン表示コマンド」）

取扱説明書の表示例は「2.1.2.7」のような4桁で、注意喚起の「3.2.6」「4.2.6」は3桁です。両者の対応は注意喚起に書かれていないため、判断に迷う場合は製品サポート窓口に確認してください。

環境注意喚起での扱い
RHEL 7・RHEL 8で3.2.6未満影響を受ける
RHEL 9で4.2.6未満影響を受ける（下の例外を除く）
4.2.5で、iLO管理インターフェース設定がredfish影響を受けない
RHEL 7・RHEL 8で3.2.6以降、RHEL 9で4.2.6以降対策版
形名VSS7BH30、RHEL 6対象製品欄に記載がない

4.2.5の例外にあたるかどうかについて、日立は取扱説明書の「HAモニタオプションの設定方法」で設定を確認するよう案内しています。ただ、11月6日に取得した取扱説明書（4071-1J-104-40）にはredfishの語が見当たらず、該当する設定項目を特定できませんでした。確認できない場合は製品サポート窓口に問い合わせてください。

Windowsの環境は対象？管理サーバ型との違い

注意喚起の対象製品欄にあるのは、HAモニタオプション(管理サーバーレス)の形名 TX-LNY-VSS7BH40／TX-LNZ-VSS7BH40 で、OSはRHEL 7・RHEL 8・RHEL 9だけです。

一方、HA8000Vのマニュアル一覧には、別の形名 TX-LNY-VSS7BH30/TX-LNZ-VSS7BH30 の取扱説明書と、HAモニタオプションをインストールする管理サーバのシステム要件が載っています。この資料では、管理サーバのOSはWindows Server 2012 R2・2016・2019・2022です。Hyper-VやVMware ESXi 6.0〜8.0の上でも動かせますが、ゲストOSは同じWindowsとされています。

このWindowsの管理サーバに入れるVSS7BH30は、今回の対象製品欄に載っていません。Windows Serverで動かしているHA8000V本体についても、この注意喚起は触れていません。ただし「載っていない」ことは、日立が「影響がない」と明言したこととは違います。VSS7BH30を使っている場合の扱いは、製品サポート窓口で確認してください。

対策：対策版3.2.6／4.2.6へのアップデート

  • RHEL 7・RHEL 8は3.2.6以降、RHEL 9は4.2.6以降にアップデートする
  • 対策版はHA8000Vダウンロードサイトから入手する。ダウンロードにはシステム装置の形名と製造番号（装置添付の保証書に記載）が必要で、ダウンロードできるのは当該システム装置の保守期間内
  • 問い合わせ先は製品サポート窓口

取扱説明書のアップグレード手順の流れ

取扱説明書には、インストールCDを使ったアップグレードインストールの手順が次のように書かれています。この手順でアップグレードすると、それまでの設定は引き継がれます。

  1. root権限が付与されたユーザでログインする
  2. HAモニタを停止する（方法はHAモニタのマニュアルを参照）
  3. systemctl stop haconnd でHA Monitor Connectorを停止する（RHEL 7以降）
  4. RHEL 7/8は rpm -Uvh haconnr2-****.el7v.x86_64.rpm、RHEL 9は rpm -Uvh haconnr2-****.el9v.x86_64.rpm を実行する
  5. systemctl start haconnd で起動し、HAモニタの監視を再開する

取扱説明書は、HA Monitor Connectorが起動したままインストールしないこと、インストール済みより古いバージョンを入れないことも注意しています。ダウンロードサイトから入手した対策版の適用方法がこの手順と同じかどうかは、注意喚起には書かれていません。

同じ日に公表されたBIOS・Intelの注意喚起との違い

日立は同じ2026年10月30日に、HA8000Vの別の注意喚起を2件出しています。対象も対策も別なので、混同しないように整理します。

ID対象内容対策
hitachi-sec-2026-213HAモニタオプション(管理サーバーレス)OSコマンドインジェクション（CVE-2026-84726）3.2.6以降／4.2.6以降
hitachi-sec-2026-214HA8000VのBIOSDoS・情報漏洩・権限昇格のおそれ（CVE-2026-7383他）Gen10（DL360・DL380・DL580・ML350）はBIOS 3.70以降、Gen10 Plus（DL360・DL380・DL20・ML30）はBIOS 2.70以降
hitachi-sec-2026-215Intel社公表のCPUの脆弱性（INTEL-SA-01379他）DoS・情報漏洩・権限昇格のおそれモデルごとにSPS・BIOSを更新

214（BIOS）で最も基本値が高いのはCVE-2026-7383の8.1(High)で、攻撃元区分はネットワーク（AV:N）、攻撃条件の複雑さは高い（AC:H）とされています。215（Intel）はGen10からGen12まで対象が広く、たとえばGen12のDL320・DL360・DL380・DL380a・DL580・ML350はBIOS 1.80以降が対策版です。他のモデルの対策版は日立の表で確認してください。

214と215はサーバ本体のファームウェアの更新で、対象製品欄はHA8000Vのモデル単位です。HAモニタオプションの更新とは別の作業になり、どちらか一方を済ませても、もう一方の対策にはなりません。

よくある質問

インターネットから直接攻撃される脆弱性ですか？

日立の説明は「ローカルアクセスにより」攻撃を受けるおそれがあるというもので、CVSSの攻撃元区分もAV:L（ローカル）です。ただし低い権限（PR:L）で成立しうると評価され、影響は機密性・完全性・可用性のすべてで「高」です。

バージョン4.2.5でredfishの設定なら更新しなくてよいですか？

日立は、4.2.5でiLO管理インターフェース設定がredfishの場合は本脆弱性の影響を受けないと記載しています。設定は取扱説明書の「HAモニタオプションの設定方法」で確認するよう案内していますが、更新の要否についてそれ以上の記載はありません。

Windows Serverの環境は対象ですか？

対象製品欄にあるのは形名TX-LNY-VSS7BH40／TX-LNZ-VSS7BH40のRHEL 7・8・9向けだけで、Windowsの管理サーバに入れる形名VSS7BH30は載っていません。載っていないことは影響がないことと同じではないため、製品サポート窓口で確認してください。

HAモニタ本体も更新が必要ですか？

注意喚起の対策は、HAモニタオプション(管理サーバーレス)を対策版以降にアップデートすることだけで、HAモニタ本体の更新には触れていません。取扱説明書のアップグレード手順では、作業の前にHAモニタを停止し、後で監視を再開します。

NVDやJVNに情報は載っていますか？

2026年11月6日時点で、NVDの検索では該当がなく、JVN iPediaも取得できなかったため、内容は確認できていません。現時点の一次情報は日立のセキュリティ情報 hitachi-sec-2026-213 です。

あわせて読みたい：FortiGateの認証情報流出（FortiBleed）の解説

あわせて読みたい：Node.jsの脆弱性10件、自分の環境は対象？

まとめ

  • 日立は2026年10月30日、HA8000V対応HAモニタオプション(管理サーバーレス)のOSコマンドインジェクション（CVE-2026-84726、7.8 High）を公表した
  • 対象は形名TX-LNY-VSS7BH40／TX-LNZ-VSS7BH40。RHEL 7・8は3.2.6以降、RHEL 9は4.2.6以降が対策版で、HA8000Vダウンロードサイトから入手する
  • 4.2.5でiLO管理インターフェース設定がredfishなら影響を受けない。Windowsの管理サーバ型VSS7BH30は対象製品欄に載っていない
  • 同日のBIOS（214）・Intel（215）の注意喚起はサーバ本体のファームウェアの話で、別に対応が要る

2026年11月6日確認の公表資料で書いています。日立のセキュリティ情報は予告なく変更されることがあるため、作業の前に最新の内容を確認してください。

参考

脆弱性・アップデート
よかったらシェアしてね！
  • URLをコピーしました！
  • URLをコピーしました！

関連記事

コメント

コメントする

CAPTCHA


目次