カナダ サイバーセキュリティセンター(CCCS)は2026年10月15日、Schneider Electric製品に関する勧告AV26-1051を公表しました。SAGE RTU製品にデータの真正性を十分に検証しない脆弱性があり、指定機種のC3414-500-S02L0未満が対象です。利用企業は機種と版を照合し、公式のセキュリティ通知で必要な対処を確認してください。
指定機種のC3414-500-S02L0未満が対象
勧告は、2026年10月13日時点のSchneider Electric製品への影響を示しています。対象として挙げられた機種は次のとおりです。いずれも対象となる版の条件は共通です。
- Sage RTU 1410/1430/1450：C3414-500-S02L0未満
- Sage RTU 2400：C3414-500-S02L0未満
- Sage RTU 3030 Magnum：C3414-500-S02L0未満
- Sage RTU 4400：C3414-500-S02L0未満
社内の機器一覧にSchneider Electricというメーカー名だけが記載されている場合、それだけでは対象かどうかを判断できません。上記の機種名と版の両方を確認することが、今回の切り分けの出発点になります。
対処方法はリンク先のセキュリティ通知で確認
データの真正性とは、データが正当なものかどうかという性質です。CCCSは、この検証が不十分な脆弱性があるとしています。ただし、今回の資料だけでは、具体的な攻撃条件や発生する被害までは確認できません。
CCCSは利用者と管理者に対し、勧告からリンクされたセキュリティ通知を確認し、推奨される緩和策と必要な更新を適用するよう促しています。対象版の境界だけを根拠に更新先を決めず、通知で対処内容を確認してください。
日本での更新提供は発表には書かれていません。国内環境での適用可否や入手方法についても、確認事項として管理担当者や保守窓口に照会する進め方が必要です。
影響する会社・しない会社
- 影響する: 上記のSage RTUを使い、版がC3414-500-S02L0未満の会社です。対象機器を管理する部署と、対処の確認を進めてください。
- 影響する: 上記の機種を使っているものの、版を把握できていない会社は確認が必要です。版が不明な段階では、対象外とは判断できません。
- 影響しない: 上記の対象機種を使用していない会社は、今回列挙された機種・版の条件には該当しません。ただし、Schneider Electricの他製品も含めて脆弱性がないと保証する内容ではありません。
情シスが今日やること
- 今日の確認作業として、IT資産台帳や機器一覧でSchneider Electricと対象機種名を検索します。管理を別部署や委託先に任せている場合は、機種名と版の回答を依頼してください。
- 対象候補の機器について、管理担当者に版を確認してもらいます。具体的な管理画面名や確認メニューは発表には書かれていません。手元の管理資料や保守窓口で確認方法を調べ、確認できた値を台帳に残します。
- 勧告AV26-1051からリンク先のセキュリティ通知を開き、対象条件、推奨される緩和策、必要な更新を確認します。版が不明な機器は、確認済みの機器と分けて管理してください。
- 対象だった機器の管理責任者と保守窓口に、確認結果と必要な対処を共有します。更新の適用条件や作業可能な日時を確認し、対応担当者と実施予定日を決めてください。これは社内対応の進め方の提案であり、今回の資料に適用期限は示されていません。
