三菱電機製MELSEC iQ-FシリーズにDoS脆弱性、JVNが公開
工場停止リスクに直結？三菱電機「MELSEC iQ-F」に脆弱性発表、対策版なしのモデルも
「サイバー攻撃」と聞くと、オフィスのパソコンのウイルス感染や機密情報の漏えいを思い浮かべる方が多いかもしれません。しかし今、工場の生産ラインやビル設備を動かす「制御システム」を狙った脅威が、企業の操業を揺るがす重大なリスクとなっています。
2026年6月19日、国内のセキュリティ組織であるJPCERT/CCは、製造現場で圧倒的なシェアを誇る三菱電機製の制御装置（シーケンサ）に関する脆弱性情報を公開しました。最悪の場合、システムの稼働が停止（DoS状態）に追い込まれる危険性があり、さらに一部の機器では「修正アップデートが提供されない」という実務上見過ごせない事態となっています。なぜこのニュースが重要なのか、対象製品と今すぐ取るべき回避策を解説します。
JVNが三菱電機製MELSEC iQ-Fシリーズの脆弱性を公開
国内のセキュリティインシデント調整機関であるJPCERT/CCは2026年6月19日、三菱電機製の汎用シーケンサ「MELSEC iQ-Fシリーズ」の通信ユニットである「FX5-EIP」および「FX5-ENET/IP」における脆弱性を、脆弱性情報ポータルサイトJVN（識別番号：JVNVU#97140216）として公開しました。
今回指摘された脆弱性が悪用された場合、システムが外部からの不正な通信処理などによって過負荷に陥り、サービス運用妨害（DoS）状態が発生する可能性があります。制御システムにおけるDoS状態は、生産ラインの急停止や監視制御の不能に直結するため、対象機器を運用している企業にとっては極めて警戒すべき情報です。
影響を受ける製品と脆弱性の詳細
今回公表された脆弱性は、影響を受ける製品（ユニット）および原因となるバグの種類によって、以下の2つの共通脆弱性識別子（CVE）に分類されています。
- CVE-2026-8805：MELSEC iQ-Fシリーズ FX5-EIP形EtherNet/IPユニットの「FX5-EIP Ver.1.000およびそれ以前」が対象です。
- CVE-2026-8806：MELSEC iQ-Fシリーズ FX5-ENET/IP形Ethernetユニットの「FX5-ENET/IP 全バージョン」が対象です。
それぞれの脆弱性が生じるメカニズムと具体的なリスクは次の通りです。
【CVE-2026-8805：整数オーバーフローまたはラップアラウンドの脆弱性（CWE-190）】
この脆弱性を持つユニットに対して、短時間に大量のTCPコネクションを確立するような通信が行われると、内部のコネクション管理処理においてデータの不整合や不正なメモリアクセスが発生します。その結果、ユニット自体の処理がクラッシュし、サービス運用妨害（DoS）状態に陥ります。
【CVE-2026-8806：サービス運用妨害状態に至る可能性のある脆弱性（CWE-440）】
こちらは、短時間に大量の通信パケットを継続的に送信されることで引き起こされる脆弱性です。過剰なパケットが送り込まれると、ユニットの処理負荷が異常に増大し、システム内の異常検知を司る内部処理が機能しなくなります。最終的には通信機能そのものが停止し、同じくDoS状態が発生してしまいます。
対策と開発者の対応
今回の発表において、現場のIT担当者や設備管理者が最も注意しなければならないのは、「製品によってメーカー側の対応方針（対策方法）が異なる」という点です。
まず「CVE-2026-8805（FX5-EIP）」向けの対策としては、三菱電機から提供される独自の対策済バージョンへのアップデートが推奨されています。システムを最新の状態に更新するとともに、開発者が提示する軽減策・回避策を速やかに適用することが求められます。
一方で、より深刻なのは「CVE-2026-8806（FX5-ENET/IP）」のケースです。開発者（三菱電機）によると、こちらのモデルに関しては今後の対策版（修正アップデート）のリリース予定はありません。そのため、製品の利用者はアップデートに頼るのではなく、メーカー側が推奨している「軽減策や回避策（ワークアラウンド）」を自らの手で適用し、システムを防御する必要があります。
今回の公表で判明していること
本件は、製品の製造元である三菱電機が、自社製品の利用者が安全に運用できるよう周知することを目的に、自らJPCERT/CCに報告を行ったことで公表に至りました。その後、JPCERT/CCが開発者との間で技術的な調整を丁寧に行い、今回の公式アナウンスとして公開されています。
2件の脆弱性のうち、一方はプログラムの書き換えによる根本対策が可能ですが、もう一方はアップデートが予定されていないため、現場での適切なネットワーク隔離やアクセス制限といった運用上のワークアラウンドが必須です。対象製品を工場やインフラ施設等で稼働させているユーザーは、開発者が提供する最新のセキュリティ情報を必ず直接確認し、自社の環境に合わせた速やかなリスク評価を行ってください。
「三菱電機の産業用ユニットの話なんて、IT系や一般企業の本業には関係ない」と思われたかもしれません。しかし、これこそがサプライチェーン全体における最大の「死角」です。現代の工場はスマート化が進み、オフィスの基幹ネットワークやインターネットと何らかの形で接続されているケースが珍しくありません。もし取引先や自社の生産設備が今回のDoS脆弱性によって停止すれば、納品の遅延や操業ストップによる巨額の損失など、ビジネス全体へ致命的なドミノ倒しが発生します。
特に今回の「対策版のリリース予定なし（ワークアラウンドのみ）」という事実は、ハードウェアの延命や運用の重要性を物語っています。現場が取るべき防衛策は以下の3点です。
- ネットワークの「境界防御（隔離）」を徹底する：MELSEC等の制御ユニットが配置されているネットワーク（OT環境）と、オフィスのネットワーク（OA環境）をファイアウォール等で厳密に分離し、不要なインターネット通信を遮断する。
- 信頼されたIPアドレス以外からのアクセス遮断：制御通信を行う必要のある正当な機器（管理PC等）のIPアドレスのみを許可し、短時間での大量コネクション要求や不審なパケットの流入を未然に防ぐ設定をルーターやスイッチに施す。
- 「アップデートに頼らない」長期的な運用の確立：産業用機器は10年スパンで稼働し続けるため、今回のように修正パッチが出ないケースも想定した「運用上の軽減策（アクセスポートの制限など）」を台帳に記録し、定期監査を行う体制を作る。
「動いているから大丈夫」という過信を捨て、ハードウェアのライフサイクルに潜むサイバーリスクへの対策を今すぐ進めましょう。
