サイバーセキュリティ

三菱電機製の複数製品における複数の脆弱性（2026-006）

三菱電機株式会社が提供するGENESIS、GENESIS64、ICONICS Suite、Hyper Historian、AnalytiX、MobileHMI、IoTWorX、MC Works64、GENESIS32、BizVizに複数の脆弱性が存在することが、JVNで公表された。対象はCVE-2023-4863、CVE-2026-16436、CVE-2026-16437、CVE-2026-16438の4件で、libwebpのヒープベースのバッファオーバフロー、チャレンジレスポンスの固定化、管理者権限ユーザによる改ざん、DCOM権限の付与が挙げられている。対策方法は脆弱性・製品・バージョンにより異なり、対策版がない製品では回避策・軽減策が推奨されている。

最終確認日: 2026-10-23

この発表の要点

企業・自治体への影響

制御・監視システムを扱う製造業（産業オートメーション・設備保全）およびそれらを導入する企業の情報システム部門や設備管理部門に関係する。自社がGENESIS等の製品を利用している場合、運用端末や監視サーバーの権限管理に影響が及ぶ可能性がある。

対応すべきこと

対象部門： 情シス 経営者

対応期限：速やかに確認

基本データ

企業・団体 三菱電機株式会社
業界 製造
発表日 2026-10-23
分類 サイバーセキュリティ

発表された内容

公開日：2026/10/23 最終更新日：2026/10/23

JVNVU#93251594
三菱電機製の複数製品における複数の脆弱性（2026-006）

三菱電機株式会社が提供するGENESIS、GENESIS64、ICONICS Suite、Hyper Historian、AnalytiX、MobileHMI、IoTWorX、MC Works64、GENESIS32およびBizVizには、複数の脆弱性が存在します。

CVE-2023-4863

GENESIS64 10.97から10.97.2まで
ICONICS Suite 10.97から10.97.2まで

CVE-2026-16436、CVE-2026-16437

GENESIS 11.03およびそれ以前
GENESIS64 10.97.3およびそれ以前
ICONICS Suite 10.97.3およびそれ以前
Hyper Historian 10.97.3およびそれ以前
AnalytiX 10.97.3およびそれ以前
MobileHMI 10.97.3およびそれ以前
IoTWorX 10.97.3およびそれ以前
MC Works64 全バージョン
GENESIS32 全バージョン
BizViz 全バージョン

CVE-2026-16438

GENESIS64 10.97.3およびそれ以前
ICONICS Suite 10.97.3およびそれ以前
Hyper Historian 10.97.3およびそれ以前
AnalytiX 10.97.3およびそれ以前
MobileHMI 10.97.3およびそれ以前
MC Works64 全バージョン

三菱電機株式会社が提供するGENESIS、GENESIS64、ICONICS Suite、Hyper Historian、AnalytiX、MobileHMI、IoTWorX、MC Works64、GENESIS32およびBizVizには、次の複数の脆弱性が存在します。

libwebpライブラリの処理におけるヒープベースのバッファオーバフロー（CWE-122）- CVE-2023-4863
チャレンジレスポンスの内容が固定（CWE-640）- CVE-2026-16436
チャレンジレスポンスの内容がファイルに保存されており、管理者権限を持ったユーザが改ざん可能（CWE-640）- CVE-2026-16437
管理者権限を持ったユーザにDCOM権限が付与されている（CWE-266）- CVE-2026-16438

想定される影響は脆弱性により異なりますが、次のような可能性があります。

CVE-2023-4863：
細工したファイルをインポートされた場合、ヒープベースのバッファオーバーフローが発生し任意のコードを実行される可能性があります。結果として、内部情報を窃取、改ざん、破壊、削除されたり、当該システムをサービス運用妨害（DoS）状態にされたりする可能性があります。

CVE-2026-16436：
システムロックを解除するために使用されるチャレンジレスポンスが全てのユーザーで共通かつ固定値であり、チャレンジレスポンスを入手した遠隔の第三者によって、システムのロックを解除される可能性があります。結果として、内部情報を窃取、改ざん、破壊、削除されたり、当該システムをサービス運用妨害（DoS）状態にされたりする可能性があります。

CVE-2026-16437：
PCの管理者権限を持ったユーザによってチャレンジレスポンスを保存している管理ファイルを改ざんされた場合、システムのロックが解除される可能性があります。結果として、内部情報を窃取、改ざん、破壊、削除されたり、当該システムをサービス運用妨害（DoS）状態にされたりする可能性があります。

CVE-2026-16438：
PCの管理者権限を持ったユーザによって、DCOMオブジェクトをローカルまたはリモートから起動および操作される可能性があります。結果として、内部情報を窃取、改ざん、破壊、削除されたり、影響を受けるシステムをサービス運用妨害（DoS）状態にされたりする可能性があります。

アップデートするまたはワークアラウンドを実施する
対策方法は、脆弱性および製品・バージョンにより異なります。
特定の製品・バージョンについては、対策版がリリースされないものもあり、その場合には回避策・軽減策を適用することが推奨されています。

対策方法の詳細については、開発者が提供する情報を確認してください。

ベンダ

リンク

三菱電機株式会社

GENESIS、GENESIS64、ICONICS Suite、Hyper Historian、AnalytiX、MobileHMI、IoTWorX、MC Works64、GENESIS32及びBizVizにおける複数の脆弱性

この脆弱性情報は、製品利用者への周知を目的に、開発者がJPCERT/CCに報告し、JPCERT/CCが開発者との調整を行いました。

JPCERT 緊急報告

JPCERT REPORT

CERT Advisory

CPNI Advisory

TRnotes

CVE

JVN iPedia

JVN
HOME
JVNとは
脆弱性レポートの読み方
脆弱性レポート一覧
VN_JP
VN_JP（連絡不能）
VN_VU
VN_TA
TRnotes
JVN iPedia
MyJVN
JVNJS/RSS
ベンダ情報一覧
連絡不能開発者一覧
脆弱性情報の届出
お問合せ先

Copyright (c) 2000-2026 JPCERT/CC and IPA. All rights reserved.

出典: jvn@jvn.jp
URL: https://jvn.jp/vu/JVNVU93251594/

時系列

主な数値

公開日 2026-10-23日
対象製品数 10製品
脆弱性件数（CVE識別子） 4件
CVE-2023-4863の影響バージョン（GENESIS64） 10.97から10.97.2までバージョン
CVE-2023-4863の影響バージョン（ICONICS Suite） 10.97から10.97.2までバージョン
CVE-2026-16436・16437の影響上限（GENESIS） 11.03およびそれ以前バージョン
CVE-2026-16436・16437の影響上限（GENESIS64、ICONICS Suite、Hyper Historian、AnalytiX、MobileHMI、IoTWorX） 10.97.3およびそれ以前バージョン
CVE-2026-16438の影響上限（GENESIS64、ICONICS Suite、Hyper Historian、AnalytiX、MobileHMI） 10.97.3およびそれ以前バージョン

この事例から確認すべきポイント

本件は、制御・監視系ソフトウェアの脆弱性を対象とした公表である。取得した本文では、脆弱性ごとに影響を受けるバージョンが示されており、自社が利用する製品名とバージョンを照合することが最初の確認事項となる。CVE-2026-16436および16437は、チャレンジレスポンスの固定化やファイル保存に関する問題とされており、管理者権限の管理やファイルへのアクセス制御も関係する。現時点で取得できた本文からは、対策版のリリース時期や各製品ごとの具体的な対策版番号の詳細は確認できませんでした。詳細は公式出典をご確認ください。対策版が提供されない製品については回避策・軽減策の適用が推奨されているため、運用部門と連携し、ネットワーク分離や権限の見直しなどの措置を検討することが望ましいと考えられます。

公式出典

更新履歴

公開日: 2026-10-23 ／ 最終確認: 2026-10-23

執筆・確認主体

この記事は、上記の公式出典を一次情報として PRaze編集部（株式会社スキルマーク）が構造化・要約したものです。 要約と分類の生成にはAIを使用しています。

数値・日付・組織名・金額は公式発表の原文から転記しており、 原文に記載のない事項を補って書くことはしていません。 内容の正確性は公式出典をご確認ください。

編集・公開: PRaze編集部（株式会社スキルマーク） ／ 出典確認日: 2026-10-23

関連事例

自社のプレスリリースをPRazeに掲載しませんか？

無料でプレスリリースを掲載する