工場 や設備の現場で使われる、産業用の機器の脆弱性 です。台湾のMoxaは2026年10月16日、産業用のゲートウェイ「AIG-302シリーズ」の脆弱性2件を公表し、修正版のファームウェア1.4.1を公開しました。フランスのCERT-FRとカナダのサイバーセキュリティ センターも、同じ日に注意を呼びかけています。工場や設備のネットワークを情シス が見ている会社に向けて、対象と対策を整理します。
2件の脆弱性の中身
Moxaの勧告(MPSA-262560)によると、中身は次のとおりです。
CVE番号
中身
前提
深刻度(CVSS v4.0)
CVE-2026-109813
プログラムに暗号鍵が埋め込まれていた
同じネットワークの中にいれば、認証 なしで秘密の情報の読み取りや書き換えができる恐れ
8.6(高)
CVE-2026-109812
内部のAPIで認可の確認が漏れていた
権限の低いアカウントを持つ攻撃者が、同じネットワークの中から秘密の情報を読み取れる恐れ
6.9(中)
Moxaの勧告。CVE-2026-109813は暗号鍵の埋め込みで深刻度8.6(高) 出典: Moxa (引用) Moxaは、どちらもインターネットの外から認証なしに攻撃できるものではないとしています。攻撃者が、機器と同じネットワークの中にいることが前提です。
対象と修正版
対象は、AIG-302シリーズのファームウェア1.4.0以前で、修正版は1.4.1です。インターネットにつながっている機器は、管理画面の「Maintenance」の「Software Upgrades」で「Check for upgrades」を押すと、更新を確かめて入れられます。つながっていない機器は、製品のページなどから修正版を手で入れます。
影響する会社・しない会社
影響する: 工場や設備のデータを集めるために、MoxaのAIG-302シリーズを使っている会社。設備の会社や委託先が設置している場合もあります。
影響する: 工場などのネットワークと、事務所のネットワークがはっきり分かれていない会社。同じネットワークの中からの攻撃が前提のため、分け方が守りの決め手になります。
直接は関係しない: Moxaの産業用の機器を使っていない会社。
情シスが今日やること
工場や設備のネットワークに、MoxaのAIG-302シリーズがあるかを確かめます。設備の会社や委託先が持ち込んだ機器も含めて、一覧にします。
ファームウェアの版を確かめ、1.4.0以前なら1.4.1に更新します。設備を止められる時間を、現場と相談して決めます。
すぐに更新できない機器は、Moxaの勧めに沿って、通信できる相手をファイアウォールなどで信頼できるものに絞り、工場などのネットワークを事務所のネットワークと分けます。機器をインターネットに直接さらしていないかも確かめます。
管理画面のアカウントを見直し、使っていないアカウントを消し、多要素認証や役割ごとの権限を使えるなら使います。
書かれていないこと
実際の攻撃に使われたかどうか(10月17日時点で、報告はない)
AIG-302シリーズ以外の機種で、同じ問題があるかどうか
埋め込まれていた暗号鍵で、具体的に何ができるかの詳細
2026年10月17日時点の内容です。
