【更新 2026-08-19】本記事を見直し、修正しました。主な修正点：Solid Edgeの脆弱性の説明を一次情報（Siemens ProductCERT SSA-621657／ICSA-26-225-12）に合わせ、「PS/IGES Parasolidトランスレータが細工されたIGSファイルを処理する際の境界外読み取り」から「PAR／PSM／DFT形式のファイル解析における境界外読み取り・書き込み等（CVE-2026-50058〜50064）」へ訂正し、本文中の想定拡張子の例もあわせて修正しました。
2026年8月13日（現地時間）、米CISAが産業用制御システム（ICS）向けのセキュリティ勧告を15件まとめて公表しました。「工場もプラントも持っていないので関係ない」と読み飛ばしたくなるところですが、今回の15件にはビルの空調コントローラ、映像監視の管理サーバ、そして設計部門のWindows端末に入っているCADソフトが含まれています。いずれも情シスが管理するネットワークとクライアントの上で動いているものです。
オフィスしか持たない企業でも確認すべきなのは、「ビル設備系」「CAD／エンジニアリング系の端末ソフト」「ライセンスサーバ」の3分類です。以下、その理由と具体的な確認手順を整理します。
この記事でわかること
- 2026年8月13日にCISAが公表したICS勧告15件の全体像
- そこに出てくる製品が「何をするもので、どこに組み込まれて動いているか」
- 工場を持たない情シスでも確認すべき3分類と、その優先順位
- 資産台帳に載らない機器をどう扱うか（現場目線の課題）
ICS勧告とは？なぜ情シスが読む価値があるのか
ICS勧告（ICS Advisory）とは、産業用制御システムや制御系ネットワーク機器の脆弱性について、米CISAがベンダーの情報をもとに公表する注意喚起です。日本ではJVN／JVNDBが日本語で一覧を出しています。
では、なぜ工場を持たない情シスが読む価値があるのでしょうか。答えは「ICS勧告の対象には、ビル設備と一般業務用ソフトが混ざっているから」です。「ICS＝工場の制御盤」というイメージだけで判断すると、オフィスビルの空調・映像監視や、設計部門のWindows端末が抜け落ちます。
今回名前が挙がった製品は何者か
製品名だけ並べても判断できないので、情シスに関係の深いものを「何をするものか」「どこで動いているか」で整理します。
| 製品 | 何をするものか | どこで動いているか |
|---|---|---|
| Siemens Desigo DXR／PXC | ビル自動制御のコントローラ。DXRは居室単位の空調・照明・ブラインド、PXCは空調機やボイラーなど親設備を制御する | オフィスビル・工場棟・病院の設備側ネットワーク（BACnet） |
| Johnson Controls Metasys | ビル管理システム（BMS）。空調・照明・電力などを一元管理するWeb UIを持つ | ビル設備ネットワーク上のサーバ。ブラウザから操作する |
| Siemens Siveillance Video | 映像監視（VMS）の管理サーバ。防犯カメラの録画・配信・権限管理を担う | 社屋の監視カメラを束ねるサーバ。社内LANに同居していることが多い |
| Siemens Parasolid | 3Dの幾何形状を扱うモデリングカーネル（部品ソフト） | 単体導入した覚えがなくても、他社製CAD／CAM／CAEの中で動いている（後述） |
| Siemens Solid Edge／Simcenter Femap | 設計用のCAD／解析用のCAE。技術者のWindows端末にインストールして使う | 設計・技術部門のクライアントPC |
| Siemens License Server（SLS） | Siemens製ソフトのライセンスを配るサーバソフト | NXやSolid Edge等の導入時に一緒に入る。NX 2212以降は必須 |
Parasolidは「使っていないつもり」でも動いている
今回もっとも注意したいのがParasolidです。Siemens公式の製品ページは、Parasolidを200社を超える独立系ソフトウェアベンダーにライセンスされ、350を超えるアプリケーションがParasolidのXT形式の上に構築されていると説明しています。つまり「うちはSiemensのCADは入れていない」と思っていても、別ベンダーのCAD／CAM／CAEの内部で動いている可能性があるということです。
Parasolidの脆弱性（CVE-2026-64629）は、細工されたX_T形式ファイルを読み込ませると境界外読み取りが起き、アプリのクラッシュや任意コード実行につながりうるものです。修正版はV38.0系が38.0.235以降、V38.1系が38.1.230以降とされています。組み込み先のアプリを使っている場合は、そのベンダーが取り込んだ更新版を待つ形になるため、自社の設計系ソフトのベンダーに「Parasolidを使っているか、対応予定はあるか」を問い合わせるのが実務的な一手です。
2026年8月13日公表の15件（一覧）
| アドバイザリID | 対象 | ざっくり分類 |
|---|---|---|
| ICSA-26-225-01 | AVEVA Enterprise SCADA | 産業（SCADA） |
| ICSA-26-225-02 | Haiwell IoT Cloud HMI Gateway | 産業（IoTゲートウェイ） |
| ICSA-26-225-03 | Johnson Controls Airwall | ネットワーク機器 |
| ICSA-26-225-04 | Hitachi Energy APM Edge Product | 産業（電力設備向け） |
| ICSA-26-225-05 | ANDRITZ HIPASE-250 / 250 SCALA | 産業（発電設備向け） |
| ICSA-26-225-06 | Siemens RUGGEDCOM APE1808 | ネットワーク機器 |
| ICSA-26-225-07 | Siemens License Server（SLS） | 社内サーバ |
| ICSA-26-225-08 | Siemens Desigo DXR / PXC Controllers | ビル設備 |
| ICSA-26-225-09 | Siemens Siveillance Video | ビル設備（映像監視） |
| ICSA-26-225-10 | Siemens Parasolid | 端末ソフト（組み込み部品） |
| ICSA-26-225-11 | Siemens Simcenter Femap | 端末ソフト（CAE） |
| ICSA-26-225-12 | Siemens Solid Edge | 端末ソフト（CAD） |
| ICSA-26-225-13 | Siemens LOGO! Soft Comfort | 端末ソフト（PLC設定） |
| ICSA-26-225-14 | Johnson Controls Metasys | ビル設備 |
| ICSMA-26-225-01 | Flow Neuroscience FL-100 | 医療機器 |
太字にした8件が、工場を持たない企業でも該当しうるものです。以下、3分類ごとに見ていきます。
分類1：ビル設備系（空調・BMS・映像監視）
Siemens Desigo DXR／PXC（ICSA-26-225-08）は、不正な形式のBACnetパケットを送られるとコントローラが停止し、復旧に手動での再起動やリセットが必要になるという内容です。CVE-2026-59693、CVSSは4.3と数値上は高くありませんが、意味するところは「ネットワーク経由で空調や照明の制御を止められ、現地に行かないと戻せない」ということです。対象はDesigo DXR2、PXC3、PXC4、PXC5.E003、PXC5.E24、PXC7の各シリーズで、修正ファームウェアはV01.21.233.16-7862およびV02.21.194.36-2715が案内されています。
Johnson Controls Metasys（ICSA-26-225-14）は、権限の低い利用者が細工したURLで永続的なXSSペイロードを仕込み、後からログインした管理者のブラウザ上で実行させられるというものです（CWE-79）。ビル管理の画面で管理者セッションを乗っ取られる形になります。対象バージョンと修正版は、Johnson Controlsの製品セキュリティ勧告 JCI-PSA-2026-11 に記載されています。回避策としてWAFによるXSSペイロードの遮断と、Metasys UIを狙う不審なリンクを踏ませない利用者教育が挙げられています。XSSの仕組み自体はクロスサイトスクリプティング（XSS）とは？仕組みと対策で解説しています。
Siemens Siveillance Video（ICSA-26-225-09）は、映像監視の管理サーバでコード実行につながる深刻度の高い脆弱性が修正されたと報じられています。防犯カメラ系は「総務・施設管理の持ち物」として情シスの管理外に置かれがちですが、実際には社内LANに同居し、Windowsサーバの上で動いていることが少なくありません。
分類2：設計部門のWindows端末に入っているソフト
Solid Edge（ICSA-26-225-12）、Simcenter Femap（同-11）、Parasolid（同-10）、LOGO! Soft Comfort（同-13）は、いずれも技術者のクライアントPCにインストールされているアプリケーションです。ICS勧告に載っているというだけで、実態はクライアント管理の話です。
報告されている弱点の型もほぼ共通しています。細工されたCADファイルを開かせると、境界外読み取りなどが発生してアプリがクラッシュするか、任意コードが実行されるというものです。Solid Edgeの場合は細工されたPAR／PSM／DFT形式のファイルを解析する際の境界外読み取り・書き込みや解放後利用で、CVE-2026-50058〜CVE-2026-50064の7件、CVSS v3.1はいずれも7.8です。対象はSE2025がV225.0 Update 15より前、SE2026がV226.0 Update 7より前で、それぞれの更新で修正されます（Siemens ProductCERT SSA-621657）。
ここで押さえたいのは、攻撃経路が「取引先から届いた図面ファイル」だという点です。設計部門は社外とCADデータをやり取りするのが日常業務であり、拡張子が.parや.psm、.x_tのファイルが添付されたメールは疑われにくい。マクロ付きOffice文書のような警戒が働かないぶん、標的型攻撃の入口としては都合がよい形になっています。
情シス側でできる確認は、資産管理ツールでSolid Edge／Femap／LOGO! Soft Comfortのインストール有無とバージョンを洗い出すこと、そして設計部門に更新の当て込み時期を確認することです。CADは「バージョンを上げると取引先とデータ互換が崩れる」という理由で更新が止まりやすいので、脆弱性管理とは？プロセスと情シスの進め方を解説で触れた「例外の記録と期限管理」を効かせる場面です。
分類3：ライセンスサーバ（入れた覚えがなくても動いている）
Siemens License Server（SLS）（ICSA-26-225-07）は、Siemens製ソフトのライセンスを管理するサーバソフトです。単体で導入を決めた記憶がなくても、NXやSolid Edgeなどの導入時にインストーラが一緒に入れていきます。NX 2212以降ではSLSの利用が必須とされており、「CADを入れた」＝「ライセンスサーバも社内で動いている」と考えたほうが実態に近いはずです。
- CVE-2026-69108（CVSS v3.1 6.0／v4.0 8.3）：sudoers設定が安全でないため、ローカルからの権限昇格が可能。SLS V5.1未満が対象で、V5.1以降で修正
- CVE-2026-69109（CVSS v3.1 7.5／v4.0 8.7）：入力値の検証不足によるパストラバーサル。遠隔の攻撃者が任意のファイルを読み出せる。SLS V5.3未満が対象で、V5.3以降で修正
Siemens ProductCERTの勧告はSSA-077553（2026年8月11日公開）です。v3.1とv4.0でスコアが2ポイント以上開いている点にも注意してください。社内基準を「CVSS 7.0以上を優先」としている場合、どちらの版で判定しているかで扱いが変わります。対処はSLS V5.3以降への更新となります。深刻度の読み方についてはCVSSとは？脆弱性の深刻度を評価する仕組みと使い方もあわせてご確認ください。
現場目線の課題：台帳に載らない機器と、またぐ部門
この手の勧告を読んでいて毎回もどかしいのは、該当するかどうかを調べる前に「誰に聞けばいいのか」で止まることです。空調コントローラは施設管理の担当、防犯カメラは総務、CADは設計部門と、持ち主がばらばらに散っています。資産管理ツールが入っているのは情シスが配ったPCだけで、ビル設備は最初から視界の外にある、という会社が多いのではないでしょうか。
しかも設備側は「動いているものを止めたくない」という力学が強く、ファームウェア更新の相談を持ちかけても後回しになりがちです。かといって放置すると、いざインシデントが起きたときに「なぜ情シスは把握していなかったのか」と問われるのは情シスです。ESP-IDFにDHCP脆弱性 ESP32搭載機器が影響やAutelのEV充電器に脆弱性8件 認証不要RCEものときと同じ構図です。
現実的な落としどころは、完璧な台帳をいきなり作ろうとせず、「社内ネットワークに繋がっている設備系機器」を部門ヒアリングで一度だけ棚卸しし、担当部署名と連絡先を紐づけたリストを作ることだと考えます。脆弱性が出るたびにゼロから探す時間がなくなるだけでも、対応速度はかなり変わります。
情シスはどうすべきか
自前で長大なチェックリストを作るより、公的機関の指針を土台にしたほうが早く、社内説明にも使えます。
- 中小企業の情報セキュリティ対策ガイドライン（IPA） … 資産の把握と管理体制の作り方が整理されています。設備系を含めた棚卸しの根拠として、経営層への説明にそのまま使えます。
- 対策のしおり（IPA） … 「不審なファイルを開かない」をエンドユーザーに伝える教材です。今回のCAD系のようにファイルを開かせる攻撃が主経路の場合、技術的対策と並んで啓発が効きます。設計部門向けに一度共有しておく価値があります。
- セキュリティインシデント対応 机上演習教材（IPA） … 「空調が止まった」「監視カメラが録画できていない」を情報システム部門の課題として扱う練習に使えます。
なお本記事のCVE番号・CVSS・修正バージョンは公表時点の情報です。適用にあたっては、各アドバイザリとベンダー公式の原文を必ずご確認ください。
まとめ
- 2026年8月13日のCISA ICS勧告15件には、ビル設備（Desigo、Metasys、Siveillance Video）と設計部門の端末ソフト（Solid Edge、Femap、Parasolid、LOGO! Soft Comfort）、ライセンスサーバ（SLS）が含まれる。工場を持たない企業でも無関係ではない。
- とくにParasolidは200社超のベンダーにライセンスされ350超のアプリに組み込まれているため、「Siemens製品は入れていない」という自己申告では判断できない。設計系ソフトのベンダーに確認する。
- 攻撃経路の主役は取引先から届く図面ファイルと、誰の持ち物かはっきりしない設備系ネットワーク。棚卸しと担当部署の紐づけから始めるのが現実的。
出典
- JVNVU#97860021 CISA ICS Advisory / ICS Medical Advisory（2026年08月13日）
- JVNDB-2026-028659（JVNDB）
- Parasolid 製品ページ（Siemens） … 200社超のISVへのライセンス、350超のアプリケーションという記載
- Siemens ProductCERT SSA-077553（Siemens License Server）
- Johnson Controls セキュリティアドバイザリ一覧（JCI-PSA-2026-11 を含む）
- ICS Patch Tuesday: Vulnerabilities Fixed by Siemens, Schneider, Phoenix Contact（SecurityWeek）
- ICS Advisories（CISA）
