三菱電機 22 機種超の家電に固定パスワード — エアコン・冷蔵庫・炊飯器まで CVE-2026-5667

エアコンも冷蔵庫も「同じ SSID と同じパスワード」だった #

JPCERT/CC が 2026 年 6 月 15 日に公開した JVNVU#99620284 / CVE-2026-5667 によると、三菱電機の エアコン霧ヶ峰・冷蔵庫・エコキュート(HEMS アダプタ)・浴室乾燥機・IH クッキングヒーター・炊飯器 など、Wi-Fi を備えた家電に ハードコードされた SSID とパスワード が埋め込まれていた。脆弱性タイプは CWE-798、いわゆる「全機種共通の固定認証情報」というやつだ。

工場出荷時、または ユーザが一度もルータに繋がず工場リセット直後 の家電は、出荷時に書き込まれた SSID を吐き続ける。攻撃者が Wi-Fi の電波範囲、つまり 隣戸・マンション同階・玄関先まで 近づければ、その認証情報で接続して以下が可能になる。

なぜ「家電」でこれが今も起きるのか #

PC やスマホでハードコード認証情報はとっくに業界の禁忌だが、IoT 家電では 「ペアリング前のごく短時間しか露出しないから問題ない」 という設計思想で長年見逃されてきた。実態は違う。引越しで放置されたままの古い炊飯器、新品でまだセットアップしていないエアコン、売却前にリセットされたエコキュート — 「ペアリング前」の家電は世の中に常にいくらでもある。

しかも家電は更新が来ない。スマホは毎月パッチが当たるが、冷蔵庫のファームを能動的に上げる消費者はほぼゼロだ。三菱電機は ソフトウェア更新を順次配信中、未対応機種はあえて Wi-Fi を無効化 するよう案内している。

防衛側に必要な習慣 #

• 家電を 買ったら速攻ルータに接続する。使わないなら Wi-Fi 機能を OFF
• 中古売却・引越し時に 工場リセットしっぱなしで電源を入れない
• マンションなど高密度環境では、家電が独自に晒している SSID を年 1 でスキャンして棚卸す

家電メーカー側にも 機種ごとにユニークな初期パスワード(米カリフォルニア州 SB-327 が 2020 年から義務化)を最低限求めるべきフェーズに、日本も来ている。