三菱電機製GENESIS64など複数製品に脆弱性、JVNが注意喚起
三菱電機の複数製品に脆弱性、JVNが情報公開
JVN（Japan Vulnerability Notes）は2026年10月23日、三菱電機株式会社が提供するGENESIS、GENESIS64、ICONICS Suite、Hyper Historian、AnalytiX、MobileHMI、IoTWorX、MC Works64、GENESIS32およびBizVizに複数の脆弱性が存在すると公開しました。同日が最終更新日となっています。
こうした脆弱性情報は、該当製品を業務システムで利用している場合、自社環境が影響範囲に入っているかどうかを早い段階で把握できるかどうかが重要になります。特に産業用・監視制御系のソフトウェアは、稼働し続けることを前提に運用されていることが多く、修正のタイミングや代替策の検討に時間がかかりやすいためです。まずは対象製品とバージョンを一覧で確認し、該当するものがあるかを整理するところから始めると判断しやすくなります。
脆弱性の内容と影響
対象となる脆弱性は4件です。CVE-2023-4863はlibwebpライブラリの処理におけるヒープベースのバッファオーバーフローで、GENESIS64 10.97から10.97.2までとICONICS Suite 10.97から10.97.2までが該当します。細工したファイルをインポートされた場合に任意のコードを実行される可能性があります。
CVE-2026-16436とCVE-2026-16437はチャレンジレスポンスに関する脆弱性です。GENESIS 11.03およびそれ以前、GENESIS64・ICONICS Suite・Hyper Historian・AnalytiX・MobileHMI・IoTWorXの各10.97.3およびそれ以前、MC Works64・GENESIS32・BizVizの全バージョンが対象です。チャレンジレスポンスが全ユーザー共通の固定値であることや、管理ファイルが改ざん可能であることが指摘されています。
CVE-2026-16438は管理者権限を持つユーザにDCOM権限が付与されている脆弱性で、GENESIS64・ICONICS Suite・Hyper Historian・AnalytiX・MobileHMIの各10.97.3およびそれ以前とMC Works64の全バージョンが該当します。いずれも内部情報の窃取・改ざん・破壊・削除や、サービス運用妨害（DoS）状態にされる可能性があります。
ここで押さえておきたいのは、4件の脆弱性がそれぞれ異なる前提で成立するという点です。CVE-2023-4863は外部から取り込むファイルが起点になり得るのに対し、CVE-2026-16436は遠隔の第三者が関与し得るもの、CVE-2026-16437とCVE-2026-16438は管理者権限を持つユーザの関与が前提となるものです。影響の現れ方が異なるため、自社の運用体制や権限管理の状況に照らして、どの脆弱性が相対的にリスクとなりやすいかを考えると優先順位を付けやすくなります。
現時点での注意点
対策方法は脆弱性および製品・バージョンにより異なります。特定の製品・バージョンについては対策版がリリースされないものもあり、その場合には回避策・軽減策の適用が推奨されています。対策方法の詳細は開発者が提供する情報を確認する必要があります。この脆弱性情報は、製品利用者への周知を目的に開発者がJPCERT/CCに報告し、JPCERT/CCが開発者との調整を行ったものです。
対策版が提供されていない製品・バージョンが含まれている場合は、アップデートだけに頼らず、回避策・軽減策の内容を確認して適用できるかどうかを検討する必要があります。運用中のシステムでは、稼働を止めずに対応できるかどうかが実務上の判断材料になるため、開発者が示す情報を早めに確認しておくことが大切です。
まとめ
今回公開されたのは、三菱電機の複数製品における4件の脆弱性情報です。対象製品とバージョンの範囲が広く、脆弱性ごとに影響の出方も異なるため、自社で利用している製品が該当するかを確認したうえで、開発者が提供する対策情報に沿って対応を検討することが求められます。対策版の有無や回避策の内容は製品・バージョンによって異なるため、詳細は出典元で確認してください。
