三菱電機システムに重大なサイバーセキュリティリスク

サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は本日発表した声明で、複数の三菱電機製産業用制御システムに重大なセキュリティ上の欠陥があり、攻撃者が影響を受けるシステムを制御できるようになる可能性があると警告しました。この勧告は、GENESIS、GENESIS64、ICONICS Suite、および関連ソフトウェアにおける脆弱性を詳述しており、これらの技術に依存する重要インフラに重大なリスクをもたらします。

CISAは、CVE-2023-4863を含む4つのCommon Vulnerabilities and Exposures（CVE）を特定しました。CVE-2023-4863は、GENESIS64およびICONICS Suiteにおける境界外書き込みの脆弱性であり、攻撃者が作成されたファイルをインポートすることで、管理者権限で任意のコードを実行できる可能性があります。さらに深刻なことに、より広範囲の製品に影響を与えるCVE-2026-16436は、認証をバイパスできる脆弱なパスワード回復メカニズムの詳細を示しています。この機関は、CVE-2023-4863に 9.1、CVE-2026-16436に 8.2のCVSSスコアを割り当てており、どちらも重大な脅威を示しています。成功した場合、データ盗難、システム改ざん、またはサービス拒否状態につながる可能性があります。

この機関の対応は、是正に重点を置いており、三菱電機はいくつかの製品の修正バージョンをリリースしました。特にGENESIS64およびICONICS Suiteのバージョン10.97.3、および他の影響を受けるシステムのバージョン10.98などです。しかし、この勧告は、直ちに更新できない組織向けのさまざまな軽減策も提供しています。これには、システムへのアクセスを管理者のみに制限すること、リモートログインをブロックすること、ネットワークセグメンテーションを実装することが含まれます。影響を受けるバージョンがGENESIS64バージョン10.97から10.97.2、ICONICS Suiteバージョン10.97から10.97.2に及ぶことから、産業オペレーターにとって広範囲にわたるパッチ適用とアップグレードサイクルになる可能性があります。詳細な軽減ガイダンスは、混乱と侵害の可能性を考慮すると、これらの脆弱性に対処することの緊急性を強調しています。

この開示は、インドの銀行や米国の軍事施設に影響を与えた最近の事件が示すように、重要インフラを標的とするサイバー攻撃の懸念が高まっている中で行われました。この勧告は、脆弱なパスワード回復メカニズムやアクセス制限の必要性などの脆弱性に重点を置いており、ゼロトラストセキュリティモデルへの業界全体の傾向と一致しています。勧告では影響を受けるシステムの数を定量化していませんが、三菱電機製品のグローバルな広範な展開を考えると、多くの組織がこれらの脆弱性を評価し、対処する必要があり、是正作業の完全な会計が今後数か月で監視すべき重要な指標となります。