Windowsでhttp://*:2869/upnp/eventing/が出る原因と対策｜UPnP無効化とDCOM権限エラー（CLSID/APPID）の見分け方

Windowsのイベントログやセキュリティ製品の通知で「http://*:2869/upnp/eventing/」や svchost.exe（LOCAL SERVICE）が表示されると、UPnP経由の侵入を疑って不安になります。さらにDCOM権限エラー（CLSID/APPID）まで併発すると、何が起きているのか判断が難しくなりがちです。ここでは「攻撃の証拠か」を切り分けつつ、まず被害を止めるための現実的な手順を整理します。

まず結論：犯人探しより「侵入しやすい穴を塞いで止血」が最優先

自宅ネットワークで「追跡（犯人特定）」を自力でやり切るのは現実的ではありません。理由はシンプルで、外部の攻撃元に見えるIPアドレスはVPN・踏み台・ボットネットで簡単に偽装・分散され、さらに家庭側はNAT（ルーターの変換）の内側にいるため、通信の真正性を突き止めるにはISP側のログや法的手続きが必要になるケースが多いからです。

その一方で、UPnP・ルーター管理・IoT分離・アカウント保護は、今日からでも実施でき、再侵入を止める効果が高いです。本記事は「止める」「再発を防ぐ」「記録を残す」の順番で進めます。

http://*:2869/upnp/eventing/ は何を意味する？（“怪しいURL”に見える正体）

http://*:2869/upnp/eventing/ は、多くの場合WindowsのUPnP関連機能が内部的に使う受け口（待ち受け）の表現です。

• * は「このPCのすべてのネットワークインターフェース（アドレス）で待ち受ける」という意味で、それ自体が“外部の誰かが侵入した”証拠ではありません。
• 2869番ポートは、UPnPのイベント通知（eventing）で使われることがあります。
• svchost.exe（LOCAL SERVICE）は、Windowsの複数サービスをまとめて動かすためのホストプロセスです。UPnP関連サービスが動けば、svchost配下で関連通信が見えることは普通にあります。

見える文字列・要素	意味	よくある関係先	即危険と言い切れない理由
http://*:2869/upnp/eventing/	UPnPイベント通知の待受URL表現	UPnP Device Host / 関連コンポーネント	待受の表記であり、外部公開されているとは限らない
svchost.exe（LOCAL SERVICE）	Windowsサービスを動かす“器”	SSDP/UPnP/ネットワーク探索など	正規のWindows動作で頻出。重要なのは“場所と署名”
UPnP関連の警告	UPnPの探索・応答・イベント処理の痕跡	DLNA/メディア共有/デバイス探索	家庭内のTVやプリンタ探索でも出る

ただし、“家庭内LANだけ”で見える話なのか、インターネット側から到達できる状態なのかで危険度は大きく変わります。以降はその切り分けをします。

「攻撃かも？」を切り分ける最短チェック（上から順に見る）

不安が強いときほど、チェックを増やしすぎるより、結論に直結するポイントだけを短時間で確認する方が効果的です。

チェック項目	見る場所	安全寄りの状態	要注意の状態	次の行動
ルーターのUPnPが有効か	ルーター管理画面	UPnP OFF	UPnP ON（特に初期設定のまま）	最優先でOFF
ポート開放/DMZ/リモート管理	ルーター管理画面	不要な公開がゼロ	心当たりのない転送/DMZ/外部管理がON	無効化＋管理PW変更
Windowsのネットワークプロファイル	設定 > ネットワーク	パブリック（外部から厳しめ）	パブリックなのに受信許可が緩い／プライベートで共有ON	受信ルール見直し
2869が“待受”しているか	Windows（netstat/PowerShell）	LISTENなし、またはローカル限定	全IFでLISTEN＋不明プロセス	プロセス特定＋停止/遮断
LAN内に見覚えのない端末	ルーターの接続端末一覧	把握できる端末だけ	不明な端末名/MACが存在	遮断＋Wi‑Fi鍵変更＋IoT分離

最優先：ルーター側でUPnPを無効化する（ここが“本丸”）

Windows側のUPnPよりも、ルーターのUPnPの方がトラブルの温床になりやすい理由があります。ルーターUPnPが有効だと、家庭内の端末が自動で外向きのポート開放（NATの穴あけ）を行えるため、IoTやアプリが意図せず“外部公開”を作ってしまうことがあるからです。

ルーターで確認・無効化したい項目（優先度順）

設定項目	推奨	理由	補足
UPnP	OFF	自動ポート開放の起点になりやすい	ゲーム機・一部通話アプリで影響が出ることがある
ポート開放（Port Forwarding）	不要なルールは削除	意図しない外部公開を潰す	残すなら「何のための何番か」を説明できる状態に
DMZ	基本OFF	端末が丸ごと外部に晒される可能性	家庭用途ではほぼ不要
ルーターのリモート管理	OFF	管理画面が外部から狙われやすい	必要ならVPN等の前提がある環境のみ
WPS	OFF推奨	攻撃や誤接続の入口になりやすい	接続が面倒でも安全面のメリットが大きい
ファームウェア更新	最新へ	既知の脆弱性を塞ぐ	更新後は再起動と設定確認を

ルーターの“今すぐできる”実務メモ

• 管理者パスワードを変更（初期値・短い文字列は避ける）
• Wi‑Fi暗号化はWPA2/WPA3、推測されやすいSSID・パスワードを避ける
• 可能ならゲストWi‑Fiを作り、IoT（TV/家電）をそちらへ移す
• 接続端末一覧で「知らない端末」があれば、まず遮断（ブロック）し、その後で鍵を変更

ここまで実施するだけで、UPnP起点の不安は大きく減ります。

Windows側でUPnP関連サービス／通信を止める（使っていないなら有効）

家庭内でUPnPを明確に使っていない（TVへのメディア共有、DLNA、ネットワーク探索などが不要）なら、Windows側でもUPnP関連を止めることで「2869の待受」自体が消えるケースがあります。

止めやすい代表サービス

サービス（表示名）	サービス名	役割	無効化すると起こり得る影響	推奨
SSDP Discovery	SSDPSRV	UPnP/SSDPの探索（発見）	ネットワーク上の機器探索（DLNA等）が弱くなる	UPnP不要なら停止/無効化
UPnP Device Host	upnphost	UPnPデバイスのホスティング/イベント処理	UPnP依存機能が使えなくなる	UPnP不要なら停止/無効化

PowerShellで状態確認（管理者で実行）

Get-Service SSDPSRV, upnphost | Select-Object Status, Name, DisplayName, StartType

停止＋無効化（影響を理解したうえで）

Stop-Service SSDPSRV -Force
Set-Service SSDPSRV -StartupType Disabled

Stop-Service upnphost -Force
Set-Service upnphost -StartupType Disabled

2869が本当に待受しているか確認する

“見えている”だけでなく、実際に待受（LISTEN）しているかを確認すると、状況が整理できます。

netstat -ano | findstr :2869

PIDが表示されたら、どのサービスがぶら下がっているかを確認します。

tasklist /svc /fi "PID eq 1234"

PowerShell派ならこちらも便利です。

$c = Get-NetTCPConnection -LocalPort 2869 -State Listen -ErrorAction SilentlyContinue
$c | Select-Object LocalAddress, LocalPort, OwningProcess
if ($c) { Get-Process -Id $c.OwningProcess | Select-Object Id, ProcessName, Path }

Windowsファイアウォールで受信を締める（“パブリック”を強める）

UPnPを完全に止めない場合でも、外部からの受信を厳しめにするだけで不安は減ります。まずはネットワークの種類を確認し、公共ネットワーク（パブリック）での受信を抑えます。

• 設定 > ネットワークとインターネット > 接続中のネットワーク
• 「ネットワークプロファイル」：不安が強い場合はパブリック寄りが安全（共有が必要な環境は例外）

ポート2869を明示的にブロックしたい場合の例（パブリックのみ）。

New-NetFirewallRule `
  -DisplayName "Block UPnP Eventing TCP 2869 (Public)" `
  -Direction Inbound -Action Block -Protocol TCP -LocalPort 2869 -Profile Public

注意：このブロックで「家庭内機器の一部機能（探索や連携）」が止まることがあります。必要な機能がある環境では、まずルーターUPnPをOFFにし、Windows側は段階的にが安全です。

併発しやすいDCOM権限エラー（CLSID/APPID）は“侵入の証拠”とは限らない

Windowsでよく話題になるDCOM関連のエラーは、イベントビューアーに「Local Activation permission がない」「CLSID」「APPID」などが出るタイプです。これは多くの場合、Windows内部コンポーネント同士の権限設定のズレで発生し、実害がないままログだけが出続けることもあります。

DCOM権限エラーが“攻撃の証拠になりにくい”理由

• Windows標準機能や正規アプリの動作でも頻発する（特に更新後など）
• 表示されるCLSID/APPIDは「どのCOMサーバーで起きたか」を示すが、その発生＝外部侵入とは直結しない
• ログイン失敗、未知端末の接続、外部への不審通信など別の状況証拠がないと判断できない

DCOM関連ログの見方（目安）

状況	危険度の目安	やるべきこと	やらない方がいいこと
DCOMエラーだけが出る／PCの挙動は正常	低	Windows Update、ドライバ更新、基本のセキュリティ強化	権限やレジストリを無目的に書き換える
同時に不審なログイン試行・未知端末・外向き通信がある	中〜高	ネットワーク遮断・分離、ログ保全、フルスキャン、ルーター設定総点検	“追跡”目的の侵入行為（法的リスク）
エラー頻発でアプリが落ちる・重い・機能が壊れる	中	原因アプリ特定、修復インストール、ベンダー手順に従う	手当たり次第の権限変更

ポイントは、DCOMエラーを“犯人の痕跡”として追いかけるよりも、同時に起きている現象（未知端末、外部公開、アカウント侵害）を潰す方が成果が出るということです。

スマートTV（Android/Google系など）が不安なとき：初期化＋更新＋分離が最短

スマートTVやセットトップボックスは、アプリ・アカウント連携・キャスト機能などが増えるほど、設定が複雑になりがちです。「踏み台にされたのでは？」という不安がある場合、最短で安全側に倒すなら“初期化して、最小構成に戻し、PCと同居させない”のが実務的です。

スマートTV/IoTの現実的な固め方

対策	狙い	具体例	効果
ファームウェアを最新化	既知の脆弱性を塞ぐ	TV本体設定の「システム更新」	高
工場出荷時リセット	設定・アプリ・連携を洗い流す	初期化後、必要最小限のアプリだけ入れる	高
不要アプリ／不要権限を削除	攻撃面を減らす	使ってないストリーミング/ユーティリティを削除	中〜高
アカウント再ログインを最小化	連携経路を減らす	不要なGoogle連携を切る、端末一覧を整理	中
IoTをゲストWi‑Fiへ分離	PC/スマホへの横展開を防ぐ	TVはゲスト、PCはメインへ	非常に高
ルーターの端末間通信制限	同一LAN内のアクセスを抑える	「AP隔離」「ゲスト同士通信禁止」など	高

「TVが踏み台になっているか」を家庭内で断定するのは難しいですが、分離（ネットワークを分ける）を入れるだけで、仮にTV側に問題があってもPC側への影響を大きく減らせます。

アカウントと認証を総点検する（再侵入を断つ“本当の保険”）

侵入の多くは、端末よりもアカウント（メール、Microsoft/Google、ルーター管理）が起点になります。ここを固めると、攻撃者が戻ってきづらくなります。

対象	チェックするもの	やること	おすすめ度
ルーター管理者	管理PW、外部管理、ログ	PW変更、外部管理OFF、設定バックアップ	最優先
Wi‑Fi	暗号化方式、パスワード、WPS	WPA2/WPA3、長いPW、WPS OFF	最優先
Microsoftアカウント	サインイン履歴、接続端末	不審なら強制サインアウト、PW変更、2FA	高
Googleアカウント（TV含む）	ログイン履歴、端末一覧	不審端末削除、PW変更、2段階認証	高
メール	転送設定、フィルタ、回復手段	転送の見直し、回復メール/電話の更新	高

Windowsの“感染”が心配なときの王道手順（安全に、漏れなく）

「svchost.exeが見える＝感染」とは限りませんが、不安を残したまま使い続けるのはストレスです。短時間で実施でき、効果が高い順に並べます。

• Windows Updateを適用（OSとMicrosoft製品を最新に）
• Microsoft Defender（Windows セキュリティ）でフルスキャン
• 可能ならMicrosoft Defender オフライン スキャンも実施（再起動が入る）
• 怪しい常駐・スタートアップを確認（心当たりのないものを整理）
• 不審なプロセスの“場所”を確認（System32以外のsvchostは要注意）

svchost.exeの“確認ポイント”

• 正規の場所：C:\Windows\System32\svchost.exe
• それ以外の場所に同名ファイルがある場合は要注意（コピーや偽装の典型）
• 可能ならファイルのデジタル署名（Microsoft）を確認

自宅でできる「追跡」の現実的な範囲：やるなら“端末特定”まで

「攻撃者を追いかける」方向は、効果が薄い割に危険（違法リスクや誤認）になりがちです。自宅で安全にできるのは、家庭内LANの棚卸し（未知端末の特定）と、ログの保全（記録）までです。

LAN内の未知端末を見つける（合法・安全な範囲）

1. ルーターの「接続端末一覧」をスクリーンショットで保存（日時が分かるように）
2. 端末名が曖昧なら、MACアドレスとIPアドレスを控える
3. 見覚えがない端末は、まずルーター側でブロック（遮断）
4. その後、Wi‑Fiパスワードを変更（遮断だけだと再接続される可能性がある）
5. IoTをゲストWi‑Fiへ分離し、PC側にアクセスできない構成へ

Windows側でも、同一ネットワークにいる相手の情報を“見るだけ”なら安全です。

arp -a

Get-NetNeighbor | Sort-Object -Property IPAddress | Format-Table -AutoSize

ここで得た情報は「自宅LAN内に何がいるか」の整理に使い、外部に攻め返す・侵入するような行為はしないのが重要です。

「記録（ログ保全）」のテンプレ（あとから困らない）

記録するもの	どこで取れるか	残し方	理由
発生日時（いつから／頻度）	自分のメモ＋イベントログ	時系列で箇条書き	後で原因を切り分けやすい
ルーターの接続端末一覧	ルーター管理画面	スクショ＋可能ならCSV/ログ保存	未知端末の出入りを追える
ポート開放/UPnP設定の状態	ルーター管理画面	スクショ	“穴”が開いていない証明になる
Windowsイベントログ（該当イベント）	イベントビューアー	イベントの詳細をコピー／evtxで保存	CLSID/APPIDや発生条件が残る
セキュリティ製品の検出結果	Defender/AV	レポート保存	第三者に説明しやすい

この“記録”があると、必要時に専門家へ相談する際もスムーズです。

よくある落とし穴：ここを外すと不安が長引く

ルーターUPnPをOFFにせず、Windows側だけ止めてしまう

Windowsをいじっても、ルーターが自動ポート開放できる状態のままだと、別の端末（TV、スマホ、ゲーム機）が穴を開ける可能性が残ります。最初に潰すべきはルーター側です。

「DCOMのCLSID/APPIDが出た＝攻撃」と決めつけてレジストリを大改造する

DCOMエラーは、実害がないのにログが出るケースもあります。無目的な権限変更は、アプリ不具合やセキュリティ低下を招くことがあります。“実害があるか”を軸に対処を決めてください。

“未知端末がいるかも”と感じたのに、Wi‑Fiパスワードを変えない

遮断しても、パスワードが同じなら再侵入されることがあります。遮断＋鍵変更がセットです。

この順番でやると迷いにくい（推奨の実行手順）

1. ルーターのUPnPをOFF、不要なポート開放/DMZ/リモート管理をOFF
2. ルーター管理PW変更、Wi‑Fiパスワード変更（WPSはOFF）
3. IoT（スマートTV等）を更新＋初期化＋ゲストWi‑Fiへ分離
4. WindowsでUPnP不要なら、SSDP/UPnPサービス停止＋受信ルール強化
5. Microsoft/Google等のアカウントをログイン履歴確認＋2FAへ
6. Defenderでフルスキャン（必要ならオフラインスキャン）
7. ログ保全（接続端末・設定・イベントログ）を整備

この流れで「侵入経路になりやすい箇所」を潰していくと、http://*:2869/upnp/eventing/ が見えても過剰に振り回されず、状況をコントロールしやすくなります。

最後に：不安が残るときの判断基準（専門家に渡す“合図”）

次のような条件が重なるなら、個人で抱え込まず、セキュリティ事業者や詳しい技術者への相談を検討してください。

• ルーター設定を見ても、心当たりのないポート開放や外部管理が繰り返し有効化される
• 未知端末が遮断後も現れる／Wi‑Fi鍵を変えても再発する
• アカウントの不正ログインが確認できる、または金銭被害がある
• 端末の挙動（CPU常時高負荷、勝手な操作、未知プロセス常駐）が明確

その際、ここまでのログ保全（日時・端末一覧・設定スクショ・イベントログ）が大きな助けになります。