SS1・SS1クラウド・rocoeyesに脆弱性｜情報取得・ファイル削除の恐れ、対象と更新方法

IT資産管理ツールのSS1、SS1クラウド、rocoeyesに脆弱性が見つかり、2026年11月9日にJVNおよび各メーカーが公表しました。影響する製品・バージョンによっては、製品が扱う機微な情報を取得されたり、ファイルを削除されたりするおそれがあります。

まずやること：導入している製品とエージェントのバージョンを確認し、メーカーが案内する修正済みバージョンへ更新してください。3製品すべてが同じ2件の脆弱性に該当するわけではありません。公表された資料で実際の悪用事例や情報流出被害の発生は確認していません。

SS1・SS1クラウド・rocoeyesは何が問題？

SS1とSS1クラウドはディー・オー・エスのIT資産管理製品で、rocoeyesはロココが提供するODM製品です。今回のJVN#76179675は、クライアント端末などで使うエージェントに関する2件の問題を取り上げています。端末管理に用いるソフトウェアは管理対象端末へ広く導入されることがあるため、管理サーバーだけの確認では見落としが生じます。

CVSS v4.0の基本値はそれぞれ5.1、6.9です。後者はネットワーク経由の悪用が想定されますが、社外から直接攻撃可能かどうかは実際の端末の接続状況によります。

自社は対象？製品別・CVE別に確認

「対象の記載なし」は今回のCVEの対象製品として示されていないことを意味し、その製品にほかの脆弱性が存在しないという意味ではありません。バージョンの判定は、管理画面の情報と端末ごとのエージェント情報を照合して実施してください。

SS1の修正済みバージョン一覧

JVNはSS1の複数のバージョン系列について、それぞれ修正済みのエージェントバージョンとメディアバージョンを公表しています。運用中の系列に対応する修正プログラムを、保守契約ユーザー向けサイト「CLUB SS1」で確認してください。

上記はJVNが今回の脆弱性について修正済みと示したリビジョンです。現在利用中の系列、アップグレード可否、配布手順は導入環境によって異なるため、管理資料とメーカーサポートで確認してください。

SS1クラウド・rocoeyesの修正済みバージョン

ディー・オー・エスはSS1クラウドの管理者サイトで対策済みバージョンへ更新するよう案内しています。ロココもrocoeyesの管理者サイトを確認して更新するよう案内しています。メーカーが修正プログラムを提供済みであることは確認できましたが、ログイン後の具体的な配布画面や更新操作は本記事では実機確認していません。

情シス向け：管理対象端末での確認・更新手順

• 製品名と運用形態を確認：SS1のオンプレミス運用かSS1クラウドか、rocoeyesかを区別する。OEM/ODM製品の名称だけで更新ファイルを流用しない。
• 管理画面・導入台帳でエージェントを一覧化：サーバー、共用PC、通常の業務端末、長期未接続端末を含めて配布状況を確認する。
• CVE別の対象表と照合：SS1だけに該当する情報格納の問題と、3製品に該当するパストラバーサルの問題を分けて評価する。
• 該当する修正を展開：SS1はCLUB SS1、SS1クラウドは管理者サイト、rocoeyesはrocoeyes管理者サイトにある案内を使う。
• 更新後を再確認：エージェントのバージョン、管理サーバーへの報告状況、通常の資産管理機能、オフライン端末の残数を点検する。
• 更新不能端末を保留管理：一時的な通信経路制限、利用停止、ネットワーク分離などを評価し、更新時期を明確にする。

技術解説：情報の格納不備とパストラバーサルはどう違う？

CVE-2026-109582：機微な情報が保護されず保存される

ソフトウェアが利用する重要なデータの保存方法に不備があると、その情報を本来想定していない形で読み取られる可能性があります。JVNの評価ではローカルからの悪用が想定され、今回の対象製品はSS1です。どの認証情報やファイルが取得できるかを公表資料だけから具体的に特定することはできません。機微情報の取得が直ちに企業全体の情報漏えいを意味するわけでもありません。

CVE-2026-113437：想定外のファイルを指定できるパストラバーサル

パストラバーサルは、ファイルパスの扱いに不備がある場合に、アプリケーションが想定した保存場所の外にあるファイルへアクセスできてしまう種類の問題です。今回のJVNでは、3製品の影響バージョンにおいて任意のファイルが削除される可能性が示されています。ほかのファイル操作まで可能であるとは断定できません。

アップデートまでに考える暫定対策

修正が最優先ですが、管理対象端末の更新には時間がかかる場合があります。メーカーの運用条件に沿い、エージェント関連の通信を必要な管理基盤・端末に限定する、不要な外部到達経路を閉じる、重要ファイルのバックアップを検証するなどを検討します。バックアップは、ファイル削除の被害に備えて復旧可能な世代を確保することが重要です。

これらは一般的なリスク低減策であり、今回の脆弱性に対するメーカー公式の代替パッチではありません。通信を一律に止めると資産情報の収集や配布機能が動作しなくなる可能性もあるため、運用影響を評価してください。

実際の被害や悪用は確認されている？

2026年11月9日に確認したJVN、ディー・オー・エス、ロココの公表文には、具体的な悪用被害、侵害された企業名、流出したデータ件数は示されていません。「脆弱性が公表された」ことと「情報が流出した」ことは区別して判断する必要があります。今後の続報があれば公表内容を確認してください。

よくある質問

SS1クラウドも機微情報の取得（CVE-2026-109582）の対象ですか？

今回のJVNではCVE-2026-109582の対象として示されているのはSS1です。SS1クラウドとrocoeyesには、CVE-2026-113437の影響が記載されています。

管理サーバーだけ更新すればよいですか？

今回の影響対象はエージェントのバージョンで案内されています。管理サーバーの状態だけで判断せず、管理下の端末に入ったエージェントの修正・更新状態を確かめてください。

修正済みの配布手順は公開されていますか？

メーカーは修正済みバージョンと案内先を公表しています。ただしSS1は保守契約ユーザー向けのCLUB SS1、クラウド製品は管理者サイトで個別の更新情報を確認する方式です。ログインが必要な手順は本記事で検証していません。

情報流出やファイル削除が実際に発生したのですか？

少なくとも今回確認した公式公表資料では、被害の発生は示されていません。想定されるリスクとして注意喚起されています。

まとめ：エージェントのバージョン確認と修正が重要

SS1・SS1クラウド・rocoeyesの利用組織は、製品名とエージェントバージョンを確認し、該当するメーカーの修正プログラムを適用してください。SS1の情報格納不備と、3製品に関係するパストラバーサルは影響範囲が異なります。公開済みの修正情報を基に、未更新端末を残さないことが実務上のポイントです。

一次情報・更新履歴

• JVN#76179675：SS1／SS1クラウドおよびrocoeyesにおける複数の脆弱性
• ディー・オー・エス公式：SS1・SS1クラウドの脆弱性に関するお知らせ
• ロココ公式：rocoeyesの脆弱性に関するお知らせ（PDF）

確認日：2026年11月9日（日本時間）。初稿：2026年11月9日。対象バージョン・修正済みバージョンの記載は同日公開のJVNと各メーカーの情報を参照しています。