NECとJVNは2026年11月9日、遠隔操作ソフト「WebSAM WinShare」に3件の脆弱性があると公表しました。影響を受けるのは、WinShareで遠隔操作される側のPCです。うち2件は、ネットワーク経由で細工された通信を送られると、Windowsの強い権限で不正な処理を実行されるおそれがあります。NECの案内・JVNの脆弱性情報

NECは修正モジュールを案内しています。社内のPCやサーバーの保守を外注している場合は、製品を自社で購入した覚えがなくても、保守に使われていないか確認してください。確認したいのは、導入されている機器、脆弱性ごとの対象版、修正の適用結果です。

保守会社が使うソフトも確認対象に

WinShareは、ネットワークにつながったPC、サーバー、POS端末などを離れた場所から操作するためのソフトウェアです。NECは、遠隔保守や利用者の支援といった用途を紹介しています。製品の説明

WinShareでは、操作する側を「オペレーションPC」、操作される側を「リモートPC」と呼びます。今回の公表で影響先として挙げられているのは、このリモートPCです。NECの構成説明

保守会社に問い合わせる際は、担当者が手元で使うPCだけでなく、自社のどの機器がWinShareからの接続を受け付けているかを確認してもらいましょう。店舗、支社、普段は直接操作しないサーバーなども、導入先の一覧に含まれているかが確認点です。

3件の違い。ログイン済みの攻撃者が必要なものと、ネットワーク経由のもの

公表された脆弱性は、攻撃の条件と影響が異なります。CVEから始まる番号は、それぞれの脆弱性を識別するための番号です。

  • CVE-2026-113362： プログラムのフォルダーに設定されるアクセス権の問題です。対象のリモートPCに一般ユーザー権限でログインしている攻撃者が、SYSTEM権限を取得するおそれがあります。
  • CVE-2026-113363： 通信パケットの処理に問題があり、細工された通信を送られると、SYSTEM権限で任意のコマンドを実行されるおそれがあります。
  • CVE-2026-113364： 受信したデータを処理する際のメモリーの扱いに問題があり、細工された通信を送られると、SYSTEM権限で任意のコードを実行されるおそれがあります。

SYSTEMは、Windowsのシステム処理で使われる非常に強い権限です。この権限で不正な処理を動かされれば、その機器上のデータや設定、業務の稼働に影響する可能性があります。これは想定されるリスクの説明であり、今回そのような被害が起きたと確認されたという意味ではありません。各脆弱性の説明と想定される影響

JVNの評価では、後ろの2件はネットワークから攻撃でき、事前の権限や利用者の操作を必要としない条件です。CVSS v4.0では9.3、v3.0では9.8と評価されています。最初の権限昇格の問題は、v4.0で8.5、v3.0で7.8です。評価方式が異なる数値を、同じ尺度として比較するものではありません。

外部から直接接続できないことだけで、対象外とは判断できません。 保守担当者には、インターネットからの到達性だけでなく、社内ネットワークや保守用の接続経路から、誰が対象機器に通信できるかを確認してもらってください。

本稿で確認したNEC・JVNの公表資料には、実際の悪用や被害の有無は記載されていません。「被害がない」と確認されたわけでもないため、利用している場合は対象調査と修正の予定を早めに決める必要があります。

対象バージョンは脆弱性ごとに異なる

NECとJVNが挙げている影響範囲は次のとおりです。

脆弱性 影響するWebSAM WinShareのバージョン
CVE-2026-113362 7.5.0およびそれ以前。ただし7.3.3を除く／7.6.0／7.7.0～7.7.1
CVE-2026-113363 7.2.0～7.5.0／7.6.0／7.7.0～7.7.2
CVE-2026-113364 7.5.0およびそれ以前／7.6.0／7.7.0～7.7.2

NECの対象製品・バージョン一覧

特に注意したいのは、7.3.3の例外はCVE-2026-113362だけという点です。7.3.3は、残る2件の対象範囲に含まれます。また、7.7.2は最初の1件には挙げられていませんが、残る2件では対象です。

1件だけを見て「この版は対象外」と結論づけず、3件すべてと照合してください。修正モジュールの適用歴がある場合は、表示されるバージョンに加え、どの修正を適用したかを担当者に確認してもらいます。

修正モジュールは提供済み。入手と適用条件は保守担当者に確認

NECは対処方法として、Ver7.6用とVer7.7用の修正モジュールを案内しています。いずれも7.5.0以下の下位バージョンにも適用可能としています。NECの対処方法

修正モジュールの案内先はNECサポートポータルで、閲覧にはログインが必要です。本稿ではログイン後の資料を確認していないため、具体的な適用手順、適用後の版番号、再起動の要否は断定していません。

保守会社や製品の管理者に、利用中の版に適したモジュール、前提条件、作業中の接続停止や業務への影響を確認してもらってください。「7.6用・7.7用」という名称だけで、古い版には対処できないと判断しないことも大切です。

すぐに修正できない場合は、接続元の制限や、必要のない遠隔接続の停止が可能かを保守担当者と相談します。これは一般的なリスク低減策としての確認事項です。今回の公開案内には具体的な回避策が示されていないため、接続制限だけで脆弱性を修正できたとは扱わず、正式な修正の予定も残してください。保守のための接続を失わないよう、代わりの連絡・作業手段も先に確認します。

保守会社には「対象の有無」と「完了の根拠」を聞く

事業者側では、次の内容をまとめて回答してもらうと、確認待ちと対応済みを区別しやすくなります。

  1. どこに導入されているか： WinShareを使うPC・サーバー・店舗端末などの一覧と、操作される側の機器。それぞれの版番号と修正の適用歴。
  2. 3件のどれに当たるか： 対象・対象外の判定と根拠。古い版の例外を、ほかの脆弱性にも当てはめていないか。
  3. 誰が、いつ直すか： 適用する修正モジュール、担当者、実施予定、必要な停止時間。すぐ直せない機器の当面の扱い。
  4. 何をもって完了とするか： 対象機器すべてへの適用記録、公式手順で求められる反映作業、作業後の遠隔接続と業務機能の確認結果。
  5. 不審な動きがないか： 確認できる接続・操作の記録の範囲と、不審な接続や変更があった場合の連絡先。記録に異常が見当たらないことだけで、侵害がなかったと断定しない。

作業前には、必要なデータや設定のバックアップ、失敗した場合の復旧方法も確認してください。更新作業を依頼しただけで終わりにせず、対象機器ごとの結果と、未対応の機器が残っていないかまで受け取ることが重要です。

情報確認日：2026年11月10日。NEC・JVNの確認時点の掲載・更新日は2026年11月9日です。作業時には最新の公式案内を確認してください。