--- title: "Mitsubishi Electric GENESIS64 などに DCOM 権限の欠陥（CVE-2026-16438、CVSS v4.0 9.4）。MC Works64 は修正版なし" url: https://n-t-p.io/worldsecurity/articles/mitsubishi-genesis-iconics-dcom-challenge-2026-16436-16438 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年10月30日 updated: 2026年10月30日 severity: 緊急 cve: CVE-2026-16436, CVE-2026-16437, CVE-2026-16438 --- # Mitsubishi Electric GENESIS64 などに DCOM 権限の欠陥（CVE-2026-16438、CVSS v4.0 9.4）。MC Works64 は修正版なし > **TL;DR:** Mitsubishi Electric と ICONICS の GENESIS64 など（10.97.3 以前、GENESIS は 11.03 以前）に、DCOM の権限誤りで CVE-2026-16438（CVSS v4.0 9.4）などの欠陥。10.98・11.04 以降で修正。MC Works64 などは修正版なし。 **要点** - CVE-2026-16438: 管理者アカウントに DCOM の既定権限が過剰に付き、ローカル・リモートで DCOM を操作できる（CVSS v4.0 9.4） - CVE-2026-16436・16437: ロック解除の値が全利用者共通で固定。回復の仕組みの欠陥 - 修正は GENESIS 11.04、GENESIS64 などは 10.98 以降。MC Works64・GENESIS32・BizViz は修正版なし - KEV 掲載なし・EPSS は 0.001〜0.003 と低い。NVD は解析前 Mitsubishi Electric と ICONICS 社の産業用監視ソフト GENESIS64 などに、権限の割り当てを誤る欠陥 CVE-2026-16438（CVSS v4.0 9.4）と、パスワード回復の仕組みの欠陥 CVE-2026-16436・CVE-2026-16437 が見つかりました。CISA は 2026-10-27 に ICS 勧告 ICSA-26-300-02 を出しています。KEV には載っておらず、悪用の確認は示されていません。 ## 何が問題か - **CVE-2026-16438（権限の誤った割り当て）**: インストーラーが、製品の管理者アカウントに DCOM の既定の権限を必要以上に与えます。同じ管理者アカウントでログインできる相手は、本来 UAC（権限昇格の確認）が要る DCOM オブジェクトを、ローカルでもリモートでも起動・操作できます。情報の漏えい、改ざん、削除、サービス停止につながるおそれがあります。 - **CVE-2026-16436（パスワード回復の欠陥）**: システムのロック解除に使う「チャレンジレスポンス」が全利用者共通で固定です。リモートの相手がこの値を何らかの方法で入手すると、ロックを解除できます。 - **CVE-2026-16437（同じ種類の欠陥）**: 管理者権限を持つローカル利用者が、チャレンジレスポンスを保存した管理ファイルを書き換えてロックを解除できます。 ## 数値で見る | CVE | CVSS v4.0 | CVSS v3.1 | EPSS | |---|---|---|---| | CVE-2026-16438 | 9.4（CRITICAL） | 9.1 | 0.0025 | | CVE-2026-16436 | 9.2（CRITICAL） | 8.1 | 0.0032 | | CVE-2026-16437 | 7.1（HIGH） | 6.4 | 0.0009 | CVSS v4.0 は NVD に載る Mitsubishi Electric 自身の評価、v3.1 は CISA 勧告の値です。EPSS は FIRST の 2026-10-29 時点の値で、今後 30 日以内に悪用される確率の推定です。いずれも低めです。NVD の状態は「Awaiting Analysis」（NVD の解析前）で、値は変わる可能性があります。KEV には 3 件とも掲載がありません（CISA カタログで確認、2026-10-30）。 ## 対象と修正版 | 製品 | 対象 | 修正版 | 該当する CVE | |---|---|---|---| | GENESIS | 11.03 以前 | 11.04 以降 | 16436・16437 | | GENESIS64、ICONICS Suite、Hyper Historian、AnalytiX、MobileHMI | 10.97.3 以前 | 10.98 以降 | 16436・16437・16438 | | IoTWorX | 10.97.3 以前 | 10.98 以降（Docker Hub で配布） | 16436・16437 | | MC Works64 | 全版 | 修正版の予定なし | 16436・16437・16438 | | GENESIS32、BizViz | 全版 | 修正版の予定なし | 16436・16437 | 勧告には、同じ勧告にある CVE-2023-4863（libwebp の欠陥。GENESIS64 と ICONICS Suite の 10.97 から 10.97.2 が対象、10.97.3 以降で修正）も載っています。 ## 対応の考え方 - 修正版がある製品は、上の版へ更新してください。入手先は ICONICS の製品ダウンロードページです。 - 修正版が出ない MC Works64・GENESIS32・BizViz について、ベンダーは GENESIS64 または GENESIS への移行を勧めています。 - すぐ更新できない場合の緩和策として、ベンダーは次を挙げています。管理者だけがログインできる構成にする、LAN 内で使い信頼できないネットワークからのリモートログインを止める、ファイアウォールや VPN で制限する、PC への物理的なアクセスを制限する、信頼できないメールのリンクや添付を開かない、ウイルス対策ソフトを入れる。 - CVE-2026-16436・16437 では、修正版がない製品向けの手順として、チャレンジ用の .dat ファイルを削除して空のファイルに置き換え、書き込みと削除を専用の管理者アカウントだけに限る方法が示されています。ファイルの場所は、バージョン 10 が `C:\Program Files\ICONICS\GENESIS64\Components\ClientChallengeTable.dat`、バージョン 11 が `C:\ProgramData\ICONICS\11\SecurityChallenges.dat` です。 - 制御システムはインターネットに直接つながず、業務用ネットワークから分離してください。 ## 確認できていない点 Mitsubishi Electric の勧告 PDF（2026-006）は、本稿の作成時に本文を読み取れませんでした。ここまでの内容は、CISA の勧告とその CSAF ファイル、NVD で照合しています。 ## 出典 - [CISA ICSA-26-300-02](https://www.cisa.gov/news-events/ics-advisories/icsa-26-300-02) — CISA - [CISA CSAF icsa-26-300-02](https://github.com/cisagov/CSAF/blob/develop/csaf_files/OT/white/2026/icsa-26-300-02.json) — CISA - [NVD CVE-2026-16438](https://nvd.nist.gov/vuln/detail/CVE-2026-16438) — NIST NVD - [NVD CVE-2026-16436](https://nvd.nist.gov/vuln/detail/CVE-2026-16436) — NIST NVD - [NVD CVE-2026-16437](https://nvd.nist.gov/vuln/detail/CVE-2026-16437) — NIST NVD - [Mitsubishi Electric PSIRT 2026-006（本文は読み取れず）](https://www.mitsubishielectric.com/psirt/vulnerability/pdf/2026-006_en.pdf) — Mitsubishi Electric - [FIRST EPSS API](https://api.first.org/data/v1/epss?cve=CVE-2026-16438) — FIRST - [CISA Known Exploited Vulnerabilities Catalog（JSON）](https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json) — CISA --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/mitsubishi-genesis-iconics-dcom-challenge-2026-16436-16438