三菱電機製品に多数の脆弱性が発見される

概要

三菱電機株式会社が提供するGENESIS、GENESIS64、ICONICS Suite、Hyper Historian、AnalytiX、MobileHMI、IoTWorX、MC Works64、GENESIS32およびBizVizには、複数の脆弱性が存在します。

影響を受ける製品

CVE-2023-4863

• GENESIS64 10.97から10.97.2まで
• ICONICS Suite 10.97から10.97.2まで

CVE-2026-16436、CVE-2026-16437

• GENESIS 11.03およびそれ以前
• GENESIS64 10.97.3およびそれ以前
• ICONICS Suite 10.97.3およびそれ以前
• Hyper Historian 10.97.3およびそれ以前
• AnalytiX 10.97.3およびそれ以前
• MobileHMI 10.97.3およびそれ以前
• IoTWorX 10.97.3およびそれ以前
• MC Works64 全バージョン
• GENESIS32 全バージョン
• BizViz 全バージョン

CVE-2026-16438

• GENESIS64 10.97.3およびそれ以前
• ICONICS Suite 10.97.3およびそれ以前
• Hyper Historian 10.97.3およびそれ以前
• AnalytiX 10.97.3およびそれ以前
• MobileHMI 10.97.3およびそれ以前
• MC Works64 全バージョン

想定される影響・悪用状況

想定される影響は脆弱性により異なりますが、次のような可能性があります。

CVE-2023-4863：
細工したファイルをインポートされた場合、ヒープベースのバッファオーバーフローが発生し任意のコードを実行される可能性があります。結果として、内部情報を窃取、改ざん、破壊、削除されたり、当該システムをサービス運用妨害（DoS）状態にされたりする可能性があります。

CVE-2026-16436：
システムロックを解除するために使用されるチャレンジレスポンスが全てのユーザーで共通かつ固定値であり、チャレンジレスポンスを入手した遠隔の第三者によって、システムのロックを解除される可能性があります。結果として、内部情報を窃取、改ざん、破壊、削除されたり、当該システムをサービス運用妨害（DoS）状態にされたりする可能性があります。

CVE-2026-16437：
PCの管理者権限を持ったユーザによってチャレンジレスポンスを保存している管理ファイルを改ざんされた場合、システムのロックが解除される可能性があります。結果として、内部情報を窃取、改ざん、破壊、削除されたり、当該システムをサービス運用妨害（DoS）状態にされたりする可能性があります。

CVE-2026-16438：
PCの管理者権限を持ったユーザによって、DCOMオブジェクトをローカルまたはリモートから起動および操作される可能性があります。結果として、内部情報を窃取、改ざん、破壊、削除されたり、影響を受けるシステムをサービス運用妨害（DoS）状態にされたりする可能性があります。

対策

アップデートパッチ適用：ソフトウェアやファームウエアに発見された脆弱性や不具合を修正するための更新プログラムを適用し、システムを安全な状態に保つこと。詳しく見る →するまたはワークアラウンドを実施する
対策方法は、脆弱性および製品・バージョンにより異なります。
特定の製品・バージョンについては、対策版がリリースされないものもあり、その場合には回避策・軽減策を適用することが推奨されています。

対策方法の詳細については、開発者が提供する情報を確認してください。