検索NeSC を見る
脆弱性・CVE速報深刻度: 緊急

Mitsubishi Electric GENESIS64 などに DCOM 権限の欠陥（CVE-2026-16438、CVSS v4.0 9.4）。MC Works64 は修正版なし

World Security 編集部
目次（5）

CVE-2026-16436

CVE-2026-16437

CVE-2026-16438

Mitsubishi Electric と ICONICS 社の産業用監視ソフト GENESIS64 などに、権限の割り当てを誤る欠陥 CVE-2026-16438（CVSS v4.0 9.4）と、パスワード回復の仕組みの欠陥 CVE-2026-16436・CVE-2026-16437 が見つかりました。CISA は 2026-10-27 に ICS 勧告 ICSA-26-300-02 を出しています。KEV には載っておらず、悪用の確認は示されていません。

何が問題か

  • CVE-2026-16438（権限の誤った割り当て）: インストーラーが、製品の管理者アカウントに DCOM の既定の権限を必要以上に与えます。同じ管理者アカウントでログインできる相手は、本来 UAC（権限昇格の確認）が要る DCOM オブジェクトを、ローカルでもリモートでも起動・操作できます。情報の漏えい、改ざん、削除、サービス停止につながるおそれがあります。
  • CVE-2026-16436（パスワード回復の欠陥）: システムのロック解除に使う「チャレンジレスポンス」が全利用者共通で固定です。リモートの相手がこの値を何らかの方法で入手すると、ロックを解除できます。
  • CVE-2026-16437（同じ種類の欠陥）: 管理者権限を持つローカル利用者が、チャレンジレスポンスを保存した管理ファイルを書き換えてロックを解除できます。

数値で見る

CVECVSS v4.0CVSS v3.1EPSS
CVE-2026-164389.4（CRITICAL）9.10.0025
CVE-2026-164369.2（CRITICAL）8.10.0032
CVE-2026-164377.1（HIGH）6.40.0009

CVSS v4.0 は NVD に載る Mitsubishi Electric 自身の評価、v3.1 は CISA 勧告の値です。EPSS は FIRST の 2026-10-29 時点の値で、今後 30 日以内に悪用される確率の推定です。いずれも低めです。NVD の状態は「Awaiting Analysis」（NVD の解析前）で、値は変わる可能性があります。KEV には 3 件とも掲載がありません（CISA カタログで確認、2026-10-30）。

対象と修正版

製品対象修正版該当する CVE
GENESIS11.03 以前11.04 以降16436・16437
GENESIS64、ICONICS Suite、Hyper Historian、AnalytiX、MobileHMI10.97.3 以前10.98 以降16436・16437・16438
IoTWorX10.97.3 以前10.98 以降（Docker Hub で配布）16436・16437
MC Works64全版修正版の予定なし16436・16437・16438
GENESIS32、BizViz全版修正版の予定なし16436・16437

勧告には、同じ勧告にある CVE-2023-4863（libwebp の欠陥。GENESIS64 と ICONICS Suite の 10.97 から 10.97.2 が対象、10.97.3 以降で修正）も載っています。

対応の考え方

  • 修正版がある製品は、上の版へ更新してください。入手先は ICONICS の製品ダウンロードページです。
  • 修正版が出ない MC Works64・GENESIS32・BizViz について、ベンダーは GENESIS64 または GENESIS への移行を勧めています。
  • すぐ更新できない場合の緩和策として、ベンダーは次を挙げています。管理者だけがログインできる構成にする、LAN 内で使い信頼できないネットワークからのリモートログインを止める、ファイアウォールや VPN で制限する、PC への物理的なアクセスを制限する、信頼できないメールのリンクや添付を開かない、ウイルス対策ソフトを入れる。
  • CVE-2026-16436・16437 では、修正版がない製品向けの手順として、チャレンジ用の .dat ファイルを削除して空のファイルに置き換え、書き込みと削除を専用の管理者アカウントだけに限る方法が示されています。ファイルの場所は、バージョン 10 が C:\Program Files\ICONICS\GENESIS64\Components\ClientChallengeTable.dat、バージョン 11 が C:\ProgramData\ICONICS\11\SecurityChallenges.dat です。
  • 制御システムはインターネットに直接つながず、業務用ネットワークから分離してください。

確認できていない点

Mitsubishi Electric の勧告 PDF（2026-006）は、本稿の作成時に本文を読み取れませんでした。ここまでの内容は、CISA の勧告とその CSAF ファイル、NVD で照合しています。

この記事について

出典

この記事を共有

この記事の Markdown 版（LLM向け） ↗

関連記事