三菱電機FA・CNCに脆弱性、対象機種が更新

三菱電機のFA（ファクトリーオートメーション）製品とCNC（数値制御装置）に、サービス運用妨害（DoS）の脆弱性があります。いずれも新規公表ではなく、2026年8月27日に「影響を受ける製品」と「対策済みバージョン」の一覧が更新されたものです。該当するとライン停止や工作機械の非常停止につながり、復旧には再起動・リセットが必要です。

ポイントは、過去に「うちは非該当」と判定した組織ほど再点検が要るという点です。FA製品側の情報は2025年4月の初出から4回も改訂され、そのたびに対象機種が入れ替わっています。一度の確認で終わらせていると、いつのまにか該当側に移っていることがあります。

この記事でわかること

  • 2件の脆弱性（CVE-2025-3511／CVE-2025-2399）の概要と影響
  • 2026年8月27日の更新で具体的に何が変わったのか
  • 対象がFA機器のため情シスの資産台帳から漏れやすい理由
  • 該当判定の具体的な手順と、対策版が提供されていない機種への対応

対象の製品は何をするものですか？

いずれも工場の生産設備を動かすための制御機器です。オフィスのIT機器ではないため、名前に馴染みがない方も多いはずです。

  • MELSEC iQ-R／iQ-Fシリーズ…三菱電機のPLC（シーケンサ）。製造ラインの装置を順序制御する、工場の頭脳にあたる機器です。EthernetインタフェースユニットやCPUユニットが今回の対象に含まれます。
  • CC-Link IE TSN…PLCと現場のI/Oユニット・センサ類をつなぐ産業用Ethernetの規格。リモートI/Oユニット、A/D・D/A変換ユニット、通信LSI（CP610／CP620）などが対象です。
  • CNC（M800V/M80V、M800/M80/E80、C80、M700V/M70V/E70シリーズ）…マシニングセンタや旋盤といった工作機械を数値制御する装置です。

これらは制御盤の中に組み込まれて動いており、情シスの資産管理台帳やIT資産管理ツールの検出対象から外れていることがほとんどです。「うちにFA機器はない」と思っていても、自社工場や関連会社の製造現場を確認すると出てくることがあります。CP610／CP620は装置に組み込まれる通信LSIなので、外観からは判断できません。

何が起きたのか

2件はそれぞれ別の脆弱性で、公表元も改訂の経緯も異なります。共通しているのは、認証なしでネットワーク経由のパケットを送るだけで機器を停止させられる点です。

項目 FA製品（JVNVU#96620683） CNC（JVNVU#95523788）
CVE CVE-2025-3511 CVE-2025-2399
CVSS v3.1 基本値 7.5（AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H） 5.9（AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H）
原因 入力で指定された数量の不適切な検証（CWE-1284） 入力値インデックス等の不適切な検証（CWE-1285）
攻撃経路 不正なUDPパケットの送信 TCP 683番ポートへの不正なパケット送信
影響 DoS状態、CC-Link IEF Basicのタイムアウト、シンプルCPU通信の遅延 領域外メモリ読み出しによりシステムが非常停止
復旧 製品の再起動（一部は正常パケット受信で自動復旧） システムのリセット
初出／最終更新 2025年4月25日／2026年8月27日 2026年3月10日／2026年8月27日

CVSSの数値だけ見るとCNC側は5.9と中程度ですが、これは攻撃条件の複雑さ（AC:H）が効いているためで、成立したときの影響は「工作機械の非常停止」です。数値の大小だけで優先度を決めないでください。

8月27日の更新で何が変わったのですか？

対象機種と対策済みバージョンの一覧が書き換わりました。三菱電機の告知文（PDF）に更新履歴が明記されています。

改訂日 主な変更点
2025年10月9日（FA） 影響を受ける製品にRJ71GN11-T2／-EIP／-SX、RJ71EN71、NZ2GACP610-60、NZ2KT-NPETNG51を追加
2026年2月3日（FA） 影響を受ける製品にFX5-CCLGN-MS、FX5-ENET、FX5-ENET/IPを追加
2026年4月23日（FA） 対策済み製品にFX5-CCLGN-MS、FX5-ENET/IPを追加
2026年8月27日（FA） 対策済み製品にR04/08/16/32/120ENCPU（ネットワーク部）を追加
2026年8月27日（CNC） M700V/M70V/E70シリーズの対策済みバージョン（LK版以降）を記載。あわせて影響を受ける製品から「ソフトウェアツール」を削除

注目したいのは、対象は増えるだけでなく減ることもあるという点です。CNC側では今回、いったん影響ありとされていたソフトウェアツールが対象から外れました。裏を返せば、初出時点の一覧をコピーして社内に配った資料は、追加分も削除分も反映されていないということになります。

現場目線での率直な課題

この手の情報がつらいのは、「該当するかどうか」を情シスだけでは確定できないところです。バージョンの確認方法は、CC-Link IE TSN製品なら専用のアップデートツール、MELSEC iQ-Rならユニット構成マニュアルの手順、CNCなら表示ユニットの「診断」→「構成」画面でNCMAIN1のシステム番号を読む、と機種ごとにばらばらです。装置の前に立たないと確認できないものも多く、生産技術・保全部門との調整が前提になります。

さらに、更新をかけるにはラインを止める必要があるのが実情で、IT機器のように「今夜のメンテ枠で当てておきます」とはいきません。だからこそ「対象かどうか」だけは先に確定させ、更新時期は別途調整するという二段構えが現実的です。

そしてCNCのC80シリーズ（BND-2036W000-**）は「すべてのバージョン」が影響を受けるとされる一方、対策済みバージョンの一覧に記載がありません。修正版を待つのではなく、ネットワーク側での封じ込めを前提に運用を組む必要があります。修正が出ない機器をどう抱えるかという論点は、古野電気FA-50の事例とも共通します。

情シスはどうすべきか

順序としては、以下のように進めるのが無理がありません。

  1. 過去の判定結果を疑う…2025年〜2026年前半に「非該当」と結論づけた記録があれば、最新のPDFで対象表を突き合わせ直します。特にFA製品側は4回改訂されています。
  2. 形名とバージョンを現物で確認する…型番だけでなくファームウェアバージョンまで取ります。生産技術・保全部門への依頼文には、確認手順の該当マニュアル名まで書いておくと差し戻しが減ります。
  3. ネットワーク側の緩和策を先に効かせる…三菱電機は、インターネット接続時のファイアウォール／VPN利用、信頼できないネットワーク・ホストからのアクセス遮断、物理アクセス制限を推奨しています。CNCのM800V/M80VおよびM800/M80/E80シリーズにはIPアドレスフィルタ機能もあります。制御系と情報系の分離はネットワーク分離の考え方も参考にしてください。
  4. 停止調整とセットで更新計画を立てる…対象が確定したら、次の設備停止機会に合わせて適用計画を作ります。

体制づくりは自前でチェックリストを作り込むより、公的な指針に沿うほうが早く経営層にも説明しやすくなります。IPAの中小企業の情報セキュリティ対策ガイドラインは骨格づくりに、机上演習教材は「ラインが止まったとき誰がどう動くか」を事前に詰める用途に向きます。現場向けには対策のしおりを配り、保守用PCの持ち込みルールを地道に浸透させることも欠かせません。ICS勧告は米CISAからも継続的に出ているので、CISAのICS勧告とあわせて定点観測しておくと取りこぼしが減ります。

まとめ

  • 三菱電機のFA製品（CVE-2025-3511／CVSS 7.5）とCNC（CVE-2025-2399／CVSS 5.9）のDoS脆弱性で、2026年8月27日に対象製品・対策済みバージョンの一覧が更新されました。
  • FA製品側は初出から4回の改訂で対象が入れ替わっています。過去の「非該当」判定は、いまも有効とは限りません。
  • CNCのC80シリーズは全バージョンが影響を受ける一方、対策済みバージョンの記載がありません。ファイアウォール・IPアドレスフィルタ等による封じ込めを前提に運用を設計してください。

出典

タイトルとURLをコピーしました