米国CISAは2026年10月8日、産業・医療機器に関する脆弱性情報を公表しました。新規の情報が3件、既存情報の更新が3件あり、対象製品を使う組織は新規分だけでなく更新分も確認する必要があります。JVN iPediaは2026年10月13日に今回の情報を掲載しました。
新規3件の対象製品
今回、新たに公表されたICS Advisory(産業用制御システムに関する脆弱性の注意情報)3件の対象は次のとおりです。
- Red Lion ControlsのN-Tron 700 Series
- Grid Protection AllianceのopenPDCとopenHistorian
- Satel Netco Design
情シスとしては、まずこの製品名を社内の資産台帳と照合するのが出発点です。そのうえで、設備の管理担当者や保守会社にも利用の有無を確認する進め方が考えられます。これは今回の発表に基づく確認作業の提案であり、対象製品の利用環境を断定するものではありません。
今回確認できる資料には、影響を受けるバージョン、脆弱性の深刻度、攻撃が成立する条件、修正方法の詳細はありません。製品名が一致しただけで、すべての機器が影響を受けると判断することはできません。
更新3件も確認対象に
既存のICS Advisoryと、医療機器に関するICS Medical Advisoryでは、次の情報が更新されました。
- Lantronix EDS3000PS and EDS5000：Update B
- Hitachi Energy RTU500 Series：Update A
- Pulsetto Vagus Nerve Stimulator：Update A
更新の対象になったことは確認できますが、何が追加・変更されたかは今回の資料だけでは分かりません。以前に確認済みの製品でも、そのときの判断をそのまま使うのではなく、更新後の情報と照合することを勧めます。
今回の資料からは、修正版の提供や被害の発生の有無を判断できません。日本での提供は発表には書かれていません。国内での取り扱いや日本語の対策情報についても、今回の資料では確認できません。
影響する会社・しない会社
- 影響する: 新規情報に挙がったN-Tron 700 Series、openPDC、openHistorian、Satel Netco Designを使う会社は、対象版や対策情報の確認が必要です。
- 影響する: 更新対象のLantronix EDS3000PS and EDS5000、Hitachi Energy RTU500 Series、Pulsetto Vagus Nerve Stimulatorを使う会社・医療機関は、過去の確認結果と更新後の情報を照合する対象です。
- 影響しない: 対象製品を使っていないことを、資産台帳と管理担当者への照会で確認できた会社は、今回挙がった製品の対策作業の対象外です。
影響を受ける版や構成、地域による条件は、今回の資料には書かれていません。「製品を保有している」と「脆弱性の影響を受ける」は分けて記録してください。
情シスが今日やること
- 今日、資産台帳を製品名で検索します。 資産管理システムを使っている場合は、その台帳で上記の製品名を照合してください。確認用の管理画面やメニュー名は資料にないため、実際の社内台帳を使います。見つかった製品は、設置場所と管理担当者を一覧にします。
- 台帳照合後、設備・医療機器の管理担当者と保守会社に連絡します。 対象製品の一覧を送り、台帳にない機器も含めて、利用の有無と製品名・バージョンを確認してもらいます。回答期限は社内で決め、依頼時に明記してください。
- 該当製品があれば、CISAの新規情報または更新情報を確認します。 管理担当者や保守会社と、対象版、変更点、対策の有無を確認し、確認した情報と判断を記録します。資料から分からない項目は、未確認として残してください。
- 対策を決める前に、現場責任者と作業条件を合わせます。 更新や設定変更が必要と確認できた場合は、作業担当、停止の可否、実施日を相談します。今回の資料には対応期限がないため、発表された期限として独自の日付を伝えないでください。
設備の停止時間を調整する進め方は、工場の古いPCは更新できない?製造現場と情シスの止めてよい時間の合わせ方も参考になります。
