JVNは2026年10月23日、三菱電機の複数製品に関する脆弱性情報を公開しました。GENESIS64やICONICS Suiteなどが対象で、細工したファイルの取り込みによる任意コード実行や、ロック解除などの恐れがあります。対策は製品・バージョンごとに異なり、一部は更新ではなく回避策・軽減策の適用が推奨されています。
ファイル取り込みとロック解除などに4件の脆弱性
公表された脆弱性は、攻撃の条件が異なります。製品を使っているかに加え、ファイルの取り込みや管理者権限に関わる条件も確認する必要があります。
- CVE-2023-4863：libwebpの処理で、メモリ領域を超えてデータを書き込む問題です。細工したファイルを取り込むと、攻撃者が任意のコードを実行する恐れがあります。
- CVE-2026-16436：ロック解除時の問いかけと応答による確認で、応答値が全ユーザー共通の固定値になっています。その値を得た遠隔の第三者に、ロックを解除される恐れがあります。
- CVE-2026-16437：管理者が応答値の保存ファイルを改ざんすることで、ロックを解除できる恐れがあります。
- CVE-2026-16438：管理者がローカルまたは遠隔から、ソフトウェア部品を呼び出す仕組みであるDCOMを起動・操作できる恐れがあります。
JVNは、各脆弱性によって内部情報の窃取・改ざん・破壊・削除や、サービスを利用できなくするDoSの恐れがあるとしています。遠隔の第三者による攻撃と、管理者による操作を条件とする問題を分けて把握することが重要です。
対象版は脆弱性ごとに異なる
CVE-2023-4863の対象は、GENESIS64とICONICS Suiteの各10.97から10.97.2までです。
CVE-2026-16436とCVE-2026-16437は、次の製品・バージョンが対象です。
- GENESIS：11.03以前
- GENESIS64、ICONICS Suite、Hyper Historian、AnalytiX、MobileHMI、IoTWorX：各10.97.3以前
- MC Works64、GENESIS32、BizViz：全バージョン
CVE-2026-16438の対象は、GENESIS64、ICONICS Suite、Hyper Historian、AnalytiX、MobileHMIの各10.97.3以前と、MC Works64の全バージョンです。
例えば、GENESIS64 10.97.3はCVE-2023-4863の対象範囲には入りませんが、今回のほかの3件では対象です。1件の対象外という結果だけで、今回の確認を終わらせないようにします。
対策は更新または回避策の実施ですが、脆弱性・製品・バージョンによって異なります。一部は対策版が提供されないため、JVNは開発者の提供情報で詳細を確認するよう案内しています。
影響する会社・しない会社
- 影響する: 上記の対象製品・バージョンを利用している会社です。製品名だけでなく、導入済みの版と脆弱性の組み合わせを照合する必要があります。
- 影響する: MC Works64、GENESIS32、BizVizを利用している会社です。今回の対象には全バージョンとされる脆弱性があるため、比較的新しい版という理由だけでは対象外にできません。
- 影響しない: 上記の対象製品を利用していない会社は、今回列挙された脆弱性の直接の対象には入りません。
- 影響しない: 各脆弱性の対象範囲に該当しない版は、その脆弱性の対象外です。ただし、別の脆弱性にも該当しないか、個別の照合が必要です。
