富士電機のV-SFTに脆弱性7件 V7ファイルを開くと危険、6.2.12.0へ

工場の設備の画面を作るソフトに、ファイルを開くだけで危険になる脆弱性が7件見つかりました。富士電機と発紘電機の表示器(HMI)向けの画面作成ソフト「V-SFT」は、ver 6.2.11.0 およびそれ以前が対象です。JVNは2026年10月26日にJVNVU#96549652として公開しました。

直すのは工場の機械ではなく、画面を作るPCのソフトです。ですから、設備の担当と情シスで、どのPCに入っているかを確認するところから始まります。

7件の脆弱性は、どれも同じ入口

V-SFTは、MONITOUCHという表示器(機械の状態を映し、タッチで操作する画面)に出す画面を、PCで作るソフトです。JVNが挙げた脆弱性は、メモリの範囲を越えて書いたり読んだりする型で、次の7件です。

深刻度は、CVSS v4.0 が基本値 8.4、v3.1 が 7.8 で、7件とも同じです。評価の前提は、攻撃元がローカル(そのPC上)、必要な権限は不要、利用者がファイルを開くなどの操作が要る、というものです。報告者は Michael Heinzl 氏です。JPCERT/CC が報告を受け、開発者との調整を行いました。

起きること:細工されたV7形式ファイルを開く

JVNが想定する影響は、細工されたV7形式ファイルを開くと、情報が漏えいしたり、任意のコードを実行されたりする可能性があることです。V7形式は、V-SFTが扱う画面データのファイルの形式です。

攻撃のきっかけは「ファイルを開く」ことです。ネットワークの設定やパスワードが破られなくても、メールやUSBメモリで渡されたファイルを、作画用のPCで開いた時点で問題になりえます。

編集部の見立てでは、この種の画面データは、装置メーカーや保守の委託先、設計の担当者の間で何度も受け渡されます。受け取ったファイルが、本当に相手の作ったものか確かめにくい場面があるはずです。ただし、実際の悪用があったという情報は、JVNには書かれていません。

影響する会社・しない会社

影響する:

• V-SFT ver 6.2.11.0 以前を、設備の担当のPCや、装置メーカー・保守の委託先に預けたPCに入れている会社です。
• 画面データを、メール・USBメモリ・共有フォルダで外とやり取りしている会社は、確認の優先度が高くなります。
• 古い版のまま、保守のために残してあるPCも対象です。

影響しない:

• V-SFT を使っていない会社です。MONITOUCH の表示器を使っていても、作画に別のソフトだけを使っているなら、今回の公表には当たりません(使うソフトは担当に確認が要ります)。
• ver 6.2.12.0 以降に更新済みの場合は、JVN が挙げるパッチを適用した版です。

JVNが挙げた対策の資料は、富士電機の「V-SFT-6 改善情報 Ver.6.2.12.0」です。富士電機の資料の公開ページには、Excel形式の改善情報があり、ログインなしで取得できると書かれています。改善情報の個別の中身までは、当社では確認していません。

なお、CISA(米国のサイバーセキュリティ機関)の勧告は、JVNからのリンクがなく、10月26日時点で同じ件の勧告は見つけられませんでした。

工場の担当と情シスで確認すること

1. V-SFTが入っているPCの一覧を作る。 設備の担当に、作画用のPCと、委託先に貸しているPCを聞きます。台帳に載っていないPCが出るのが普通です。
2. 版を確認する。 ver 6.2.11.0 以下なら対象です。複数の版が入っているPCは、それぞれの版を記録します。
3. パッチを適用する。 6.2.12.0 の案内に沿って更新します。工場のラインを止めるPCではないので、作画の作業が止まっていない時間に進められます。ただし、更新後に今の画面データがそのまま開けるかは、試すPCで先に確認してください。
4. 画面データの受け渡しを見直す。 受け取ったV7ファイルは、更新前のV-SFTでは開かないようにします。受け渡しの経路(メール、USBメモリ、クラウド)ごとに、誰が誰に渡すかを決めておくと、後で追えます。
5. 作画用のPCの使い方を確かめる。 インターネットやメールを使うPCと兼用にしていないか、ウイルス対策ソフトは動いているかを見ます。兼用なら、V-SFTを使うPCを分けるのが望ましいです。

情シスが今日やること

• 設備の担当に、V-SFTを使っているPCと版を聞く連絡を出します。
• 見つかったPCは、版を台帳に書き、6.2.11.0 以前のものから更新の予定を決めます。
• 装置メーカーと保守の委託先に、V-SFTの版と、画面データの受け渡しの方法を確認します。
• 同じ週に公表された他社の制御・工場向け製品の脆弱性は、三菱電機の複数製品の記事にまとめています。工場向けのソフトは、メーカーごとに更新の通知が別々に出ます。台帳を製品単位で作っておくと、確認の漏れが減ります。