JVN、Siemens製品のアドバイザリを公表 新規18件・更新21件
Siemens製品のアドバイザリが公表
JPCERT/CCは2026年10月16日、JVNVU#90141693として「Siemens製品に対するアップデート（2026年10月）」を公表しました。Siemensから各製品向けのアドバイザリが公表されたことを受けたものです。
ひとつのベンダーからこれだけ多くのアドバイザリがまとめて出るのは、それだけ対象製品の幅が広く、影響範囲も多層にわたることを意味します。産業用制御機器やエンジニアリングツールを運用している組織にとっては、自社の利用製品が該当するかどうかを確認する出発点になる情報です。本記事では、公表内容の全体像と、実務で押さえておきたいポイントを整理します。
新規18件・更新21件のアドバイザリ
今回の公表では、新規のアドバイザリが18件、更新が21件となっています。新規分には、Capital Embedded AR ClassicのOut-of-bounds Read脆弱性、SIMATIC S7 PLCsおよび関連製品に関するアクセス属性の未適用、SENTRON 3NA COM Fuseのサービス拒否脆弱性、PSS(R)SINCALのWibuKeyサービス拒否脆弱性などが含まれます。
また、SIMATIC IPCsのハードコードされた鍵、APOGEE・TALON・Desigo PXC/PXM製品の複数脆弱性、Industrial Edge Device Kitのパストラバーサル、SIMATIC S7 Webserver API向け.NET Client Libraryの複数脆弱性、SIMATIC S7-1500 CPU 1518(F)-4 PN/DP MFP V3.1.7の追加GNU/Linuxサブシステムの脆弱性、RUGGEDCOM CROSSBOWの複数脆弱性、WinCCの認証済みリモートコード実行なども新規に挙がっています。
更新分には、SIMATIC S7-1500 CPU 1518(F)-4 PN/DP MFPの各バージョンに関するもの、RUGGEDCOM APE1808デバイス上のPalo Alto Networks PAN-OSやFortigate NGFWに関するもの、LOGO! 8 BM Devices、Siemens Web InstallerのDLLハイジャック、Siemens Engineering Platformsのローカル任意コード実行やデシリアライズ脆弱性、OpenSSLのバッファオーバーフロー、KACO Blueplanet Inverters、SIMOTION Toolsのローカル権限昇格、TPM 2.0のOut of Bound Read、RADIUSプロトコルの偽造攻撃などが含まれます。
新規と更新の違いは、必ずしも深刻度の差ではありません。更新分には、以前に公表された内容に修正や追加情報が反映されているケースが多く、すでに対応済みと考えていた製品でも再確認が必要になることがあります。特に、対象バージョンの範囲が変更されている可能性があるため、過去に確認したときの情報だけで判断せず、最新のアドバイザリを都度参照する姿勢が重要です。
今回の公表で判明していること
今回の公表では、Siemens製品に関する多数のアドバイザリが新規および更新として示されています。対象は産業用制御機器、エンジニアリングツール、ネットワーク機器など多岐にわたります。詳細な内容や影響範囲については、Siemensのアドバイザリを参照するよう案内されています。
個々の脆弱性の深刻度や悪用状況、修正プログラムの提供状況は、この公表だけでは判断できません。自組織で利用している製品名や型番を洗い出し、該当するアドバイザリの原文を確認したうえで、適用可否や回避策を検討する流れになります。対象製品の一覧は幅広いため、まずは資産台帳と突き合わせて優先順位をつけるところから始めると、対応漏れを減らしやすくなります。
実務で押さえておきたい確認のポイント
アドバイザリを確認する際は、次のような観点で整理しておくと、社内での共有や対応判断がしやすくなります。
- 自組織で利用しているSiemens製品が新規・更新のどちらに該当するかを確認する
- 該当する場合は、Siemensのアドバイザリ原文で対象バージョンと影響範囲を確認する
- 修正プログラムの有無や回避策の有無を確認し、適用計画を検討する
- 更新分については、以前の確認時点から内容が変わっていないかを再確認する
これらはあくまで一般的な確認の流れであり、実際の対応方針は製品の利用状況や運用体制によって異なります。判断に迷う場合は、ベンダーの案内や専門家の見解を参照することが望ましいです。
まとめ
2026年10月のSiemens製品に関するアップデートでは、新規18件・更新21件のアドバイザリが示され、産業用制御機器からエンジニアリングツール、ネットワーク関連製品まで幅広い対象が含まれています。詳細はSiemensのアドバイザリを参照する必要があり、自組織の利用製品と照らし合わせた確認が欠かせません。新規・更新の別にかかわらず、最新の情報を都度確認し、必要に応じて対応を検討することが大切です。
