米国CISAがICS Advisory 7件新規公表、三菱電機製品など対象
制御システムや産業機器のセキュリティ情報は、日々の運用の中で見落とされやすい分野です。しかし、こうした機器がひとたび脆弱性の影響を受けると、生産設備やインフラの停止など業務に直結する影響が及ぶ可能性があります。米国CISAがCISA ICS Advisory / ICS Medical Advisoryを公表し、JPCERT/CCが2026年9月18日にJVNVU#91030326として伝えています。本記事では、今回公表された内容を整理し、実務担当者が何を確認すべきかをまとめます。
新規公表された7件
新規として公表されたのは7件です。ICSA-26-260-01はBransys ELD、ICSA-26-260-02はMitsubishi Electric GX Works3 and Motion Control Settings、ICSA-26-260-03はHitachi Energy FACTS Control Platform (FCP)が対象です。
続いてICSA-26-260-04はSchneider Electric Modicon M340 Controller and Communication Modules、ICSA-26-260-05はSchneider Electric NetBotz 5 750/755、ICSA-26-260-06はABB Ability Edgenius、ICSA-26-260-07はSchneider Electric PowerChute Serial Shutdownとなっています。
対象製品の一覧を見ると、エンジニアリングソフトウェア、コントローラ、通信モジュール、電源管理ソフトウェアなど、製造現場や設備運用で用いられる機器が幅広く含まれている点が特徴です。自社でこれらの製品を導入している場合は、該当するアドバイザリの識別子を控えておくと、後から情報を追いやすくなります。
更新された1件
更新分としてICSA-26-211-07が公開されました。対象はMitsubishi Electric CC-Link IE TSN Communication Protocolで、Update Aとしての更新です。新規公表だけでなく、既存のアドバイザリが更新されるケースもあるため、過去に確認した情報であっても定期的に見直すことが重要です。
元記事では詳細についてICS Advisory / ICS Medical Advisoryを参照するよう案内されており、各アドバイザリの内容そのものは本文に記載されていません。脆弱性の詳細や影響範囲、対策については各アドバイザリの確認が必要です。
今回の公表で判明していること
今回の公表で判明しているのは、新規7件と更新1件の識別子および対象製品名です。対象には三菱電機、Hitachi Energy、Schneider Electric、ABBといった制御システム関連製品が含まれています。個別の脆弱性の内容や深刻度は元記事には記載されていません。
そのため、自組織への影響を判断するには、各アドバイザリの原文を確認し、対象製品のバージョンや利用状況と照らし合わせる作業が必要になります。識別子と製品名だけでは影響の有無は判断できない点に注意してください。
実務担当者が確認しておきたいポイント
制御システム関連のアドバイザリは、IT系の脆弱性情報に比べて社内での共有が遅れがちです。まずは今回の一覧の中に、自社で利用している製品や、取引先を通じて間接的に利用している製品が含まれていないかを確認しましょう。
- 対象製品を自社で導入しているか、資産台帳や構成管理情報と照合する
- 該当する場合は各アドバイザリの原文で影響範囲と対策を確認する
- 必要に応じてベンダー提供の情報や修正プログラムの有無を確認する
- 対応の要否や優先度を、運用部門や委託先とも共有する
脆弱性情報は公表された時点で対応が完了しているとは限らず、確認と判断に時間がかかることもあります。日頃から対象製品の情報を整理しておくことが、いざというときの初動を早めることにつながります。
まとめ
今回はCISAによるICS Advisory / ICS Medical Advisoryの公表が、JPCERT/CCからJVNVU#91030326として伝えられました。新規7件、更新1件という構成で、対象には複数の制御システム関連製品が含まれています。個別の脆弱性の詳細は元記事に記載されていないため、影響の有無は各アドバイザリの原文で確認する必要があります。まずは対象製品の一覧を自社の資産情報と照合し、必要な対応を検討する出発点として活用してください。
