EPICS Base に認証なしで届く整数オーバーフロー（CVE-2026-114595、CVSS 9.8）ほか 3 件。7.0.11 で修正

EPICS Base（加速器や大型実験施設の制御に使われるオープンソースの制御系ソフトウェア）の 7.0.10 以前に、ネットワーク経由で攻撃できる 4 件の脆弱性が見つかりました。最も重い CVE-2026-114595 は、認証なしでメモリ破壊からリモートコード実行につながり得る整数オーバーフローで、CVSS v3.1 は 9.8 です。EPICS コミュニティは 7.0.11 への更新を案内しています。CISA が ICS 勧告 ICSA-26-300-01 として 2026-10-27 に公開しました。CISA の KEV には載っていません。

何が問題か

いずれも EPICS Base 7.0.10 以前が、ネットワークから届くメッセージを処理する部分の入力検証の不備です。

• CVE-2026-114595（整数オーバーフロー、CWE-190）: ネットワーク要求の処理でメモリが誤ったサイズで確保され、攻撃者のデータを扱う際にメモリ破壊・サービス拒否・リモートコード実行が起こり得ます。
• CVE-2026-114596（整数オーバーフロー、CWE-190）: プロトコル解析でメッセージ長の検証が不十分なため、範囲外への書き込みが起こり、プロセスの不安定化やサービス拒否につながります。
• CVE-2026-114597（長さの不整合、CWE-130）: 要素数や長さの検証が不十分で、確保した領域の外を読み出します。サービス拒否と、隣接するメモリ内容の漏えいが起こり得ます。
• CVE-2026-114598（型の取り違え、CWE-843）: 勧告の説明文は 114597 と同じで、領域外の読み出しによるサービス拒否と情報漏えいとされています。2 件の違いは勧告の文面からは分かりません。

数値で見る

CVE	CVSS v3.1（CISA）	CVSS v4.0（NVD 掲載の CISA 評価）	EPSS
CVE-2026-114595	9.8	9.3	0.0050
CVE-2026-114596	8.2	8.8	0.0026
CVE-2026-114597	7.5	8.7	0.0030
CVE-2026-114598	7.5	8.7	0.0030

EPSS は FIRST の 2026-10-29 時点の値で、今後 30 日以内に悪用される確率の推定です。いずれも低い値です。CISA の KEV カタログ（2026-10-30 確認）に 4 件とも掲載がなく、NVD の状態は 4 件とも「Awaiting Analysis」（解析待ち）です。4 件とも攻撃元区分は「ネットワーク」、攻撃条件は低く、認証と利用者の操作は不要とされています。

対象と修正版

対象	修正版
EPICS Base 7.0.10 以前	7.0.11

修正は epics-base の GitHub リポジトリ（pull request 934・937）と pvDataCPP（pull request 109）に反映されたと、勧告に記載があります。

対応の考え方

• EPICS Base を使っている場合は、7.0.11 へ更新してください。更新が難しい環境は、EPICS コミュニティのサポート窓口に相談するよう勧告に書かれています。
• EPICS のネットワーク通信を、信頼できる制御ネットワークの外に出さないでください。インターネットから到達できないようにし、ファイアウォールの内側に置いて業務ネットワークから分離します。
• リモートアクセスが必要なときは、最新に更新した VPN を使います。VPN 自体にも脆弱性があり得る点に注意してください。

確認できていない点

• EPICS コミュニティ自身の勧告原文や 7.0.11 のリリースノートは、本稿の作成時に読み取っていません。内容は CISA の勧告とその CSAF ファイルによります。
• 114597 と 114598 の説明文が同一で、違いは確認できていません。
• 4 件とも NVD の評価は解析前で、値は変わる可能性があります。
• 悪用の報告は、CISA の勧告にも KEV にも見当たりません。