離れた拠点の端末を、遠隔で保守している会社へ
NECの遠隔保守
店のレジや支店のパソコンを、保守会社が離れた場所から操作できるようにしていませんか。NECのWebSAM WinShare（ウェブサム・ウィンシェア）を使っているなら、まず「操作される側」のWindows端末と、その稼働版を保守担当に確認してください。該当する版では、ログインしていない相手に端末上で命令を実行されるおそれがあります。
NEC・JVNの公表、記事公開・一次資料確認： ／ 日本プロダクトマネージメント合同会社
操作を受ける側から確認する
WinShareは、ネットワークにつながるやパソコン、POS（ポス、販売時点の情報を扱うレジなど）端末を、離れた場所から操作するための製品です。たとえば本部の担当者が支店の端末を操作する場合、今回の照合は支店側の「リモートPC」から始めます。保守委託先の操作用パソコンだけを確認すると、操作を受ける側が一覧から漏れます。
保守担当には、許可した接続元と、社外やほかの拠点から実際に届く経路を分けて確認してもらいます。社外へ直接公開していない構成でも、社内の別端末から届く場合があります。
2件はログイン不要。対象版を問題ごとに照合する
SYSTEM（システム）権限は、Windowsのサービスなどが使う強い権限です。その権限で命令やプログラムが動くと、端末の設定や保存データに影響が及び、業務で使えなくなるおそれもあります。下の（シー・ブイ・イー）は弱点の識別番号、（シー・ブイ・エス・エス）は深刻度を示す指標です。数字はJVNに掲載された基本値です。
- CVE-2026-113363 ／ Critical（重大）
- 対象版：7.2.0〜7.5.0、7.6.0、7.7.0〜7.7.2
4.0は9.3／3.0は9.8
していない相手が、操作される端末に細工した通信を送ると、Windowsの強い権限で命令を実行されるおそれがあります。 - CVE-2026-113364 ／ Critical（重大）
- 対象版：7.5.0以前、7.6.0、7.7.0〜7.7.2
4.0は9.3／3.0は9.8
していない相手から細工されたデータが届くと、受信処理の不備により、同じ強い権限でプログラムを動かされるおそれがあります。 - CVE-2026-113362 ／ High（高）
- 対象版：7.5.0以前（7.3.3を除く）、7.6.0、7.7.0〜7.7.1
4.0は8.5／3.0は7.8
操作される端末に一般利用者としてできる相手が、プログラムの保存場所に設定された権限の不備を利用して、より強い権限を得るおそれがあります。
7.3.3の例外は-2026-113362だけです。7.7.2もこのの対象範囲から外れますが、上の重大2件には該当します。NECとJVNの公開資料に実悪用の記載はなく、11月9日に確認した米国CISA（シーサ）の既知悪用一覧にも3件の掲載はありませんでした。
修正モジュールは、NECの案内から
NECはWinShare Ver 7.6用の修正モジュールと、Ver 7.7用の修正モジュールを案内しています。入手にはNECサポートポータルへのが必要です。NECによると、両方とも7.5.0以下の下位版にも適用できます。どちらを使うかは、稼働版・導入構成と公式手順を保守担当が照合して決めます。
公開の告知には、モジュール適用後のビルド番号や公式の回避策は示されていません。適用できる版、再起動の要否、更新後に残す確認記録は、入手したモジュールの説明で確認します。
遠隔保守が使えない時間に備える
端末と接続経路を一覧にする
拠点・操作される端末・稼働版・許可した接続元・担当者を照合します。修正までに時間がかかる場合は、業務への影響を確かめて、接続元の制限や不要な遠隔操作の一時停止を保守担当と検討します。
現地で戻せる人と手順を決める
設定の、条件、停止する業務、作業時間・工数と費用を確認します。遠隔保守が切れた場合に備え、現地の担当者や代替手段を先に決めます。元の版への差し戻しはも戻す場合があるため、復旧後の接続制限も決めておきます。
試験端末から適用し、結果を残す
保守担当が正規モジュールの適用記録を確認し、許可された接続元から遠隔保守ができること、制限した経路は通らないこと、レジや業務アプリが普段どおり使えることを確かめます。
覚えのない遠隔接続や設定変更があった場合は、いつ・どの端末で起きたかを記録し、関連する操作記録やWindowsのを保全できる担当者に引き継ぎます。修正の適用と、過去にされたかの調査は別に進めます。
保守担当に、そのまま聞けます
当社でWebSAM WinShareを使っていますか。操作されるWindows端末の一覧と稼働版、接続が届く範囲を教えてください。該当する端末は、適用するNECの修正モジュール、作業時間と費用、使えなくなる機能、現地での復旧方法、作業後の確認項目をお願いします。
パスワード、コード、非公開の接続設定は一般の相談フォームに記入しないでください。
対象・修正を公式資料で確認する
- NECのセキュリティ告知 NV26-006（11月9日公表）
- JVN#89009783（11月9日公表）。3件の対象、影響、評価
- NECの製品情報。遠隔操作の対象と用途
- CISAの既知悪用一覧（11月9日確認）
記事では公開情報を照合しました。自社の適用条件や所要時間は、機器の保守担当と確認してください。編集・訂正の方針