検索NeSC を見る
脆弱性・CVE速報深刻度: 高

PowerSYSTEM Center の CVE-2026-63017・63774: 権限確認の不備と帳票デザイナーの SQL 実行で、低権限の利用者が管理者向けの資源や不正な SQL を使える恐れ（CISA ICS 勧告）

World Security 編集部
AI 支援あり
目次（5）

CVE-2026-63017

CVE-2026-63774

Subnet Solutions の電力システム向け管理ソフト PowerSYSTEM Center に、2 件の欠陥（CVE-2026-63017・CVE-2026-63774）が見つかりました。CISA は 2026-11-03 に ICS 勧告 ICSA-26-307-01 を出し、NVD には 2026-11-06 に登録されました（NVD の状態は Received＝受付済み）。

何が起きるか

  • CVE-2026-63017（権限確認の不備）: 認証済みの低権限の利用者が、本来は管理者に限られる資源にアクセスできます。弱点の種別は CWE-863（不適切な認可）です。ベンダーは対策の一つとして、Client Access Server の利用者がブラウザーの開発者ツール（F12）を使えないようにすることを挙げています。
  • CVE-2026-63774（SQL の実行）: 帳票デザイナー（report designer）の入力検証が不十分で、認証済みの利用者が許可されていない SQL コマンドを実行できます。弱点の種別は CWE-89（SQL インジェクション）です。
  • CISA は、この 2 件が成功すると「許可されていない SQL コマンドの実行と、許可されていない資源へのアクセス」につながる恐れがあるとしています。
  • CISA は、これらに特化した公開された悪用は把握していないとしています。また「リモートからは悪用できない」と書いています。攻撃元の区分は隣接ネットワーク（AV:A）です。
  • 影響する分野は重要製造業とエネルギー、展開地域は世界、ベンダーの本社はカナダと記載されています。

影響を受ける版と修正

製品影響する版対策
PowerSYSTEM Center 20205.29.x まで2020 Update 30 に更新（CVE-2026-63017 のみ該当）
PowerSYSTEM Center 20246.0.x〜6.2.x2026 Update 1.1 へ更新（ベンダー推奨の移行先）
PowerSYSTEM Center 20267.0.x〜7.1.x2026 Update 1.1 に更新
  • CVE-2026-63774 は 2024 と 2026 が対象です。2020 は CISA の対象製品に入っていません。
  • 更新の相談先は、ベンダーのシステム統合チームまたはサポート窓口と記載されています。

評価

評価元版点数ベクターの要点
NVD に載る CISA（ICS-CERT）の評価（Secondary）CVSS v4.09.4（両 CVE）AV:A/AC:L/PR:L/UI:N・機密性・完全性・可用性とも高
CISA ICS 勧告CVSS v3.19.0（両 CVE）AV:A/AC:L/PR:L/UI:N/S:C・C/I/A とも高
  • どちらも**認証済み（PR:L）**で、**隣接ネットワークからの攻撃（AV:A）**が前提です。点数は 9 以上ですが、「認証なしで 9 以上」の critical の基準には当たらないため、severity は high を案とします。確定はオーナーの判断待ちです。
  • CISA の SSVC（優先度判定）は、悪用（Exploitation）なし・自動化（Automatable）なし・技術的影響（Technical Impact）は全面（Total）です。
  • FIRST の EPSS は、取得時点（2026-11-06）で値が算出されていません。CISA の KEV には、手元の状態ファイル上で掲載がありません。

対策として考えられること

  1. 該当する版を、上の表のベンダー推奨の版に更新します。
  2. 更新できない間は、ベンダーの案内どおり、利用者の操作記録を監視し、利用規程に沿った使い方かを確かめます。
  3. CVE-2026-63774 は、帳票デザイナーを使う必要のない利用者のアクセスを止めます。
  4. CVE-2026-63017 は、Client Access Server の利用者がブラウザーの開発者ツール（F12）を使えないようにします。
  5. CISA の一般的な推奨に従い、制御システムをインターネットに公開せず、ファイアウォールの内側で業務ネットワークから分離します。遠隔接続は VPN など安全な方法に限ります。

未確認の点

  • 実際の悪用の有無（CISA は特化した悪用の報告を把握していないとしています）。
  • 悪用の難しさの詳細（再現手順は公開情報に見当たりません）。
  • NVD の最終評価（現在は Received で、変わる可能性があります）。
  • 本稿はベンダー自身の勧告ページを開いていません。内容は CISA の CSAF 版勧告と NVD によります。

この記事について

AI の利用
本記事は AI が NVD などの公開情報をもとに作成しました。数値は取得時点（2026-11-06）のもので、未確認の点は本文に明記しています。

出典

この記事を共有

この記事の Markdown 版（LLM向け） ↗

関連記事