CISAが公開した制御システムの脆弱性情報(直近1ヶ月)

最終更新日:2025年12月8日

米国土安全保障省(DHS)のサイバーセキュリティ・インフラストラクチャセキュリティ庁(CISA: Cybersecurity and Infrastructure Security Agency)
が直近1ヶ月の間に公開した制御システムの脆弱性の概要を日本語で掲載しています(脚注1)。使用している制御システムの脆弱性情報の日々のチェックに役立ててください。更新は原則毎週月曜日です。

[2023年2月24日に、US-CERTとICS-CERTが廃止となり、CISAに統合されました。]

CISAが公開した脆弱性のうち、脆弱性番号(CVE)が採番されている脆弱性は、IPAの脆弱性対策情報データベース JVN iPedia でも公開している可能性があります。過去の制御システムの脆弱性を日本語でチェックしたい場合は、JVN iPediaを活用ください(JVN iPediaでのCISA公開脆弱性情報の検索方法については、「制御システムのセキュリティ」ページを参照ください)。

CISAが公開した脆弱性のIPAでの公開

なお、1つのアドバイザリに複数の脆弱性が含まれる場合、深刻度は「深刻度が1番高い脆弱性」の深刻度を記載しています。

2025年12月4日公開

アドバイザリ
三菱電機の GX Works2 に重要な情報の平文保存に関する脆弱性
深刻度	基本値 5.5(AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N)(CVSSv3) 基本値 6.8(AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N)(CVSSv4)
攻撃コード	現状確認されていない
対策	有り(リスク緩和策)
脆弱性番号	CVE-2025-3784
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-338-01

アドバイザリ
MAXHUB 社の MAXHUB Pivot にパスワード管理機能に関する脆弱性
深刻度	基本値 7.5(AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N)(CVSSv3) 基本値 8.7(AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N)(CVSSv4)
攻撃コード	現状確認されていない
対策	有り(アップグレード)
脆弱性番号	CVE-2025-53704
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-338-02

アドバイザリ
Johnson Controls 社の OpenBlue Mobile Web Application for OpenBlue Workplace にリクエストの直接送信に関する脆弱性
深刻度	基本値 9.3(AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:L/A:N)(CVSSv3) 基本値 6.5(AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:L/VA:N/SC:H/SI:L/SA:N/E:U)(CVSSv4)
攻撃コード	現状確認されていない
対策	有り(アップグレード、リスク緩和策)
脆弱性番号	CVE-2025-26381
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-338-03

アドバイザリ
Johnson Controls 社の iSTAR に証明書有効期限の不適切な検証に関する脆弱性
深刻度	基本値 6.5(AV:A/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H)(CVSSv3) 基本値 7.1(AV:A/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N)(CVSSv4)
攻撃コード	現状確認されていない
対策	有り(アップグレード、リスク緩和策)
脆弱性番号	CVE-2025-61736
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-338-04

アドバイザリ
Sunbird 社の DCIM dcTrack および Power IQ に複数の脆弱性
深刻度	基本値 6.7(AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H)(CVSSv3) 基本値 8.4(AV:L/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N)(CVSSv4)
攻撃コード	現状確認されていない
対策	有り(アップデート、リスク緩和策)
脆弱性番号	CVE-2025-66238(代替パスまたはチャネルを使用した認証回避) CVE-2025-66237(ハードコードされた認証情報の使用)
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-338-05

アドバイザリ
SolisCloud 社の Monitoring Platform (Cloud API & Device Control API) にユーザ制御の鍵による認証回避に関する脆弱性
深刻度	基本値 7.7(AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N)(CVSSv3) 基本値 8.3(AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N)(CVSSv4)
攻撃コード	現状確認されていない
対策	有り(アップデート)
脆弱性番号	CVE-2025-13932
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-338-06

アドバイザリ
Advantech 社の iView に SQL インジェクションの脆弱性
深刻度	基本値 7.0(AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H)(CVSSv3) 基本値 8.3(AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N)(CVSSv4)
攻撃コード	現状確認されていない
対策	有り(アップデート、リスク緩和策)
脆弱性番号	CVE-2016-2542
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-338-07

アドバイザリ【更新】
Consilium Safety 社の CS5000 Fire Panel に複数の脆弱性 2025年5月29日 CISA 公開分の更新(Update A) [更新内容] 深刻度/影響を受ける製品/対策:情報更新
深刻度	基本値 8.4(AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)(CVSSv3) 基本値 8.6(AV:L/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N)(CVSSv4)
攻撃コード	現状確認されていない
対策	有り(アップデート)
脆弱性番号	CVE-2025-41438(リソースの安全ではないデフォルト値への初期化) CVE-2025-46352(ハードコードされた認証情報の使用)
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-148-03

アドバイザリ【更新】
Johnson Controls 社の FX Server、FX80 および FX90 に脆弱なサードパーティ製コンポーネントへの依存に関する脆弱性 2025年8月7日 CISA 公開分の更新(Update A) [更新内容] タイトル/影響を受ける製品:情報更新
深刻度	基本値 7.7(AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N)(CVSSv3) 基本値 8.4(AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:H/SC:H/SI:N/SA:N)(CVSSv4)
攻撃コード	現状確認されていない
対策	有り(アップデート)
脆弱性番号	CVE-2025-43867
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-219-02

2025年12月2日公開

アドバイザリ
Industrial Video & Control 社の Longwatch にコードインジェクションの脆弱性
深刻度	基本値 9.8(AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)(CVSSv3) 基本値 9.3(AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N)(CVSSv4)
攻撃コード	現状確認されていない
対策	有り(アップグレード)
脆弱性番号	CVE-2025-13658
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-336-01

アドバイザリ
Iskra 社の iHUB および iHUB Lite に重要な機能に対する認証の欠如に関する脆弱性
深刻度	基本値 9.1(AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N)(CVSSv3) 基本値 9.3(AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N)(CVSSv4)
攻撃コード	現状確認されていない
対策	ベンダに連絡
脆弱性番号	CVE-2025-13510
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-336-02

メディカルアドバイザリ
Mirion Medical 社の EC2 Software NMIS BioDose に複数の脆弱性
深刻度	基本値 8.4(AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)(CVSSv3) 基本値 8.7(AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:L/SC:N/SI:N/SA:N)(CVSSv4)
攻撃コード	現状確認されていない
対策	有り(アップデ-ト)
脆弱性番号	CVE-2025-64642(重要なリソースに対する不適切なパーミッションの割り当て) CVE-2025-64298(重要なリソースに対する不適切なパーミッションの割り当て) CVE-2025-61940(クライアント側認証の使用) CVE-2025-64778(ハードコードされた認証情報の使用) CVE-2025-62575(重要なリソースに対する不適切なパーミッションの割り当て)
参照	https://www.cisa.gov/news-events/ics-medical-advisories/icsma-25-336-01

アドバイザリ【更新】
三菱電機の CNC シリーズに制御されていない検索パスの要素に関する脆弱性 2025年7月24日 CISA 公開分の更新(Update A) [更新内容] 影響を受ける製品/対策:情報更新
深刻度	基本値 7.0(AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H)(CVSSv3)
攻撃コード	現状確認されていない
対策	有り(アップデート、リスク緩和策)
脆弱性番号	CVE-2016-2542
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-205-01

アドバイザリ【更新】
三菱電機の MELSEC iQ-R/iQ-F シリーズに複数の脆弱性 2023年6月6日 CISA 公開分の更新(Update C) [更新内容] 影響を受ける製品:情報更新
深刻度	基本値 7.5(AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N)(CVSSv3) 基本値 8.7(AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N)(CVSSv4)
攻撃コード	現状確認されていない
対策	有り(アップデート、リスク緩和策)
脆弱性番号	CVE-2023-2060(脆弱なパスワードポリシー) CVE-2023-2061(ハードコードされたパスワードの使用) CVE-2023-2062(パスワードフィールドのマスキングの欠如) CVE-2023-2063(危険なタイプのファイルの無制限アップロード)
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-23-157-02

2025年11月25日公開

アドバイザリ
Ashlar-Vellum 社の Cobalt、Xenon、Argon、Lithium、Cobalt Share に複数の脆弱性
深刻度	基本値 7.8(AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H)(CVSSv3) 基本値 8.4(AV:L/AC:L/AT:N/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N)(CVSSv4)
攻撃コード	現状確認されていない
対策	有り(アップデート)
脆弱性番号	CVE-2025-65084(境界外書き込み) CVE-2025-65085(ヒープベースのバッファオーバーフロー)
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-329-01

アドバイザリ
Rockwell Automation 社の Arena Simulation にスタックベースのバッファオーバーフローの脆弱性
深刻度	基本値 7.0(AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H)(CVSSv3) 基本値 7.1(AV:L/AC:H/AT:N/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N)(CVSSv4)
攻撃コード	現状確認されていない
対策	有り(アップグレード)
脆弱性番号	CVE-2025-11918
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-329-02

アドバイザリ
Zenitel 社の TCIV-3+ に複数の脆弱性
深刻度	基本値 9.8(AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)(CVSSv3) 基本値 10.0(AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:L/SA:H)(CVSSv4)
攻撃コード	現状確認されていない
対策	有り(アップグレード)
脆弱性番号	CVE-2025-64126(OSコマンドインジェクション) CVE-2025-64127(OSコマンドインジェクション) CVE-2025-64128(OSコマンドインジェクション) CVE-2025-64129(境界外書き込み) CVE-2025-64130(クロスサイトスクリプティング)
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-329-03

アドバイザリ
Opto 22 社の groov View にメタデータによる重要な情報の公開に関する脆弱性
深刻度	基本値 7.6(AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:L)(CVSSv3) 基本値 6.1(AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:L/VA:L/SC:N/SI:N/SA:N)(CVSSv4)
攻撃コード	現状確認されていない
対策	有り(アップグレード)
脆弱性番号	CVE-2025-13084
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-329-04

アドバイザリ
Festo 社の Compact Vision System、Control Block、Controller、および Operator Unit products に複数の脆弱性
深刻度	基本値 9.8(AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)(CVSSv3)
攻撃コード	現状確認されていない
対策	有り(ワークアラウンド(回避策)およびリスク緩和策)
脆弱性番号	CVE-2022-22515(誤った領域へのリソースの漏えい) CVE-2022-31806(リソースの安全ではないデフォルト値への初期化)
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-329-05

アドバイザリ
SiRcom 社の SMART Alert (SiSA) に重要な機能に対する認証の欠如に関する脆弱性
深刻度	基本値 9.1(AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H)(CVSSv3) 基本値 8.8(AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:H/SC:N/SI:N/SA:N)(CVSSv4)
攻撃コード	現状確認されていない
対策	ベンダに連絡
脆弱性番号	CVE-2025-13483
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-329-06

アドバイザリ【更新】
三菱電機の複数のFAエンジニアリングソフトウェア製品に複数の脆弱性 2022年12月5日 CISA 公開分の更新(Update C) [更新内容] 影響を受ける製品/対策:情報更新
深刻度	基本値 9.1(AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N)(CVSSv3)
攻撃コード	現状確認されていない
対策	有り(アップデート、ワークアラウンド(回避策)及びリスク緩和策)
脆弱性番号	CVE-2022-25164(平文での重要情報の保存) CVE-2022-29826(平文での重要情報の保存) CVE-2022-29825(ハードコードされたパスワードの使用) CVE-2022-29831(ハードコードされたパスワードの使用) CVE-2022-29833(認証情報の不十分な保護) CVE-2022-29827(ハードコードされた暗号鍵の使用) CVE-2022-29828(ハードコードされた暗号鍵の使用) CVE-2022-29829(ハードコードされた暗号鍵の使用) CVE-2022-29830(ハードコードされた暗号鍵の使用) CVE-2022-29832(メモリにおける平文での重要な情報の保存)
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-22-333-05

2025年11月20日公開

アドバイザリ
Automated Logic 社の WebCTRL Premium Server に複数の脆弱性
深刻度	基本値 9.3(AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H)(CVSSv3) 基本値 8.6(AV:L/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:L)(CVSSv4)
攻撃コード	現状確認されていない
対策	有り(アップグレード)
脆弱性番号	CVE-2024-8527(オープンリダイレクト) CVE-2024-8528(クロスサイトスクリプティング)
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-324-01

アドバイザリ
iCam365 社の複数の CCTV カメラに重要な機能に対する認証の欠如に関する脆弱性
深刻度	基本値 6.8(AV:A/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:L)(CVSSv3) 基本値 7.0(AV:A/AC:L/AT:N/PR:L/UI:N/VC:H/VI:L/VA:L/SC:N/SI:N/SA:N)(CVSSv4)
攻撃コード	現状確認されていない
対策	ベンダに連絡
脆弱性番号	CVE-2025-64770、CVE-2025-62674
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-324-02

アドバイザリ
Opto 22 社の GRV-EPIC-PR1、GRV-EPIC-PR2、および groov RIO に OS コマンドインジェクションの脆弱性
深刻度	基本値 6.2(AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:L)(CVSSv3) 基本値 7.5(AV:N/AC:H/AT:N/PR:H/UI:N/VC:H/VI:H/VA:L/SC:N/SI:N/SA:N)(CVSSv4)
攻撃コード	現状確認されていない
対策	有り(アップグレード)
脆弱性番号	CVE-2025-13087
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-324-03

アドバイザリ
Festo 社の MSE6-C2M/D2M/E2M に非公開の機能に関する脆弱性
深刻度	基本値 8.8(AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H)(CVSSv3)
攻撃コード	現状確認されていない
対策	ベンダのアドバイザリ参照
脆弱性番号	CVE-2023-3634
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-324-04

アドバイザリ
Festo 社の Didactic 製品に入力確認に関する脆弱性
深刻度	基本値 7.8(AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H)(CVSSv3)
攻撃コード	現状確認されていない
対策	有り(アップデート)
脆弱性番号	CVE-2023-26293
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-324-05

アドバイザリ
Emerson 社の Appleton UPSMON-PRO にスタックベースのバッファオーバーフローの脆弱性
深刻度	基本値 9.8(AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)(CVSSv3) 基本値 9.3(AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N)(CVSSv4)
攻撃コード	現状確認されていない
対策	サポート終了製品のため、製品を交換するか軽減策の適用を推奨
脆弱性番号	CVE-2024-3871
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-324-06

2025年11月18日公開

アドバイザリ
Schneider Electric 社の EcoStruxure Machine SCADA Expert & Pro-face BLUE Open Studio に暗号アルゴリズムの使用に関する脆弱性
深刻度	基本値 8.4(AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N)(CVSSv3) 基本値 8.3(AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:H/SI:H/SA:N)(CVSSv4)
攻撃コード	現状確認されていない
対策	有り(パッチ適用、リスク緩和策)
脆弱性番号	CVE-2025-9317
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-322-01

アドバイザリ
Shelly 社の Pro 4PM に制限またはスロットリング無しのリソースの割り当てに関する脆弱性
深刻度	基本値 7.4(AV:A/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H)(CVSSv3) 基本値 8.3(AV:A/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:H)(CVSSv4)
攻撃コード	現状確認されていない
対策	ベンダに連絡
脆弱性番号	CVE-2025-11243
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-322-02

アドバイザリ
Shelly 社の Pro 3EM に境界外読み取りに関する脆弱性
深刻度	基本値 7.4(AV:A/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H)(CVSSv3) 基本値 8.3(AV:A/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:H)(CVSSv4)
攻撃コード	現状確認されていない
対策	ベンダに連絡
脆弱性番号	CVE-2025-12056
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-322-03

アドバイザリ
Schneider Electric 社の PowerChute Serial Shutdown に複数の脆弱性
深刻度	基本値 7.8(AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H)(CVSSv3)
攻撃コード	現状確認されていない
対策	有り(アップデート、ワークアラウンド(回避策)およびリスク緩和策)
脆弱性番号	CVE-2025-11565(パス・トラバーサル) CVE-2025-11566(過度な認証試行の不適切な制限) CVE-2025-11567(不適切なデフォルトパーミッション)
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-322-04

アドバイザリ
METZ CONNECT 社の EWIO2 に複数の脆弱性
深刻度	基本値 9.8(AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N)(CVSSv3) 基本値 9.3(AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:H/SI:H/SA:N)(CVSSv4)
攻撃コード	現状確認されていない
対策	有り(アップデート、ワークアラウンド(回避策)およびリスク緩和策)
脆弱性番号	CVE-2025-41733(根本の脆弱性による認証回避) CVE-2025-41734(PHP リモートファイルインクルージョン) CVE-2025-41735(危険なタイプのファイルの無制限アップロード) CVE-2025-41736(パストラバーサル '.../...//') CVE-2025-41737(不適切なアクセス制御)
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-322-05

アドバイザリ【更新】
Schneider Electric 社の EcoStruxure に複数の脆弱性 2025年8月12日 CISA 公開分の更新(Update B) [更新内容] 影響を受ける製品/対策:情報更新
深刻度	基本値 8.8(AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H)(CVSSv3) 基本値 8.7(AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N)(CVSSv4)
攻撃コード	現状確認されていない
対策	有り(ホットフィックス、アップグレード、リスク緩和策)
脆弱性番号	CVE-2025-54923(信頼性のないデータのデシリアライゼーション) CVE-2025-54924(サーバーサイドのリクエストフォージェリ) CVE-2025-54925(サーバーサイドのリクエストフォージェリ) CVE-2025-54926(パス・トラバーサル) CVE-2025-54927(パス・トラバーサル)
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-224-03

2025年11月13日公開

アドバイザリ
三菱電機の MELSEC iQ-F シリーズに入力で指定された数量の不適切な検証に関する脆弱性
深刻度	基本値 5.3(AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L)(CVSSv3)
攻撃コード	現状確認されていない
対策	有り(リスク緩和策)
脆弱性番号	CVE-2025-10259
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-317-01

アドバイザリ
AVEVA 社の Application Server IDE にクロスサイトスクリプティングの脆弱性
深刻度	基本値 6.9(AV:L/AC:L/PR:H/UI:R/S:C/C:H/I:L/A:L)(CVSSv3) 基本値 7.2(AV:L/AC:L/AT:N/PR:H/UI:P/VC:H/VI:L/VA:L/SC:H/SI:H/SA:H)(CVSSv4)
攻撃コード	現状確認されていない
対策	有り(アップデート、リスク緩和策)
脆弱性番号	CVE-2025-8386
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-317-02

アドバイザリ
AVEVA 社の Edge に暗号アルゴリズムの使用に関する脆弱性
深刻度	基本値 8.4(AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N)(CVSSv3) 基本値 8.3(AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:H/SI:H/SA:N)(CVSSv4)
攻撃コード	現状確認されていない
対策	有り(アップデート、リスク緩和策)
脆弱性番号	CVE-2025-9317
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-317-03

アドバイザリ
Brightpick AI 社の Brightpick Mission Control / Internal Logic Control に複数の脆弱性
深刻度	基本値 8.6(AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N)(CVSSv3) 基本値 8.7(AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N)(CVSSv4)
攻撃コード	現状確認されていない
対策	ベンダに連絡
脆弱性番号	CVE-2025-64307(重要な機能に対する認証の欠如) CVE-2025-64308(認証情報の保護しない転送) CVE-2025-64309(認証情報の保護しない転送)
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-317-04

アドバイザリ
Rockwell Automation 社の Verve Asset Manager に不正な認証に関する脆弱性
深刻度	基本値 9.9(AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:H/A:H)(CVSSv3) 基本値 8.4(AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:H/VA:H/SC:N/SI:L/SA:H)(CVSSv4)
攻撃コード	現状確認されていない
対策	有り(アップデート)
脆弱性番号	CVE-2025-11862
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-317-05

アドバイザリ
Rockwell Automation 社の Studio 5000 Simulation Interface に複数の脆弱性
深刻度	基本値 8.8(AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H)(CVSSv3) 基本値 9.3(AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H)(CVSSv4)
攻撃コード	現状確認されていない
対策	有り(アップグレード)
脆弱性番号	CVE-2025-11696(パス・トラバーサル) CVE-2025-11697(サーバーサイドのリクエストフォージェリ)
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-317-06

アドバイザリ
Rockwell Automation 社の FactoryTalk DataMosaix Private Cloud に複数の脆弱性
深刻度	基本値 8.0(AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H)(CVSSv3) 基本値 8.6(AV:N/AC:L/AT:N/PR:L/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N)(CVSSv4)
攻撃コード	現状確認されていない
対策	有り(アップデート)
脆弱性番号	CVE-2025-11084(脆弱な認証) CVE-2025-11085(不適切なエンコード、または出力のエスケープ)
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-317-07

アドバイザリ
General Industrial Controls 社の Lynx+ Gateway に複数の脆弱性
深刻度	基本値 10.0(AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:H)(CVSSv3) 基本値 9.2(AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:H/SC:N/SI:N/SA:H)(CVSSv4)
攻撃コード	現状確認されていない
対策	ベンダに連絡
脆弱性番号	CVE-2025-55034(脆弱なパスワードの要求) CVE-2025-58083(重要な機能に対する認証の欠如) CVE-2025-59780(重要な機能に対する認証の欠如) CVE-2025-62765(重要な情報の平文での送信)
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-317-08

アドバイザリ
Rockwell Automation 社の FactoryTalk Policy Manager にリソースの不適切なシャットダウンおよびリリースに関する脆弱性
深刻度	基本値 7.5(AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H)(CVSSv3) 基本値 8.7(AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N)(CVSSv4)
攻撃コード	現状確認されていない
対策	ベンダのアドバイザリ参照
脆弱性番号	CVE-2024-22019
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-317-09

アドバイザリ
Rockwell Automation 社の AADvance-Trusted SIS Workstation にパストラバーサルの脆弱性
深刻度	基本値 8.8(AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H)(CVSSv3) 基本値 8.6(AV:N/AC:L/AT:N/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N)(CVSSv4)
攻撃コード	現状確認されていない
対策	ベンダのアドバイザリ参照
脆弱性番号	CVE-2024-48510
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-317-10

アドバイザリ
Siemens 社の SICAM P850 ファミリおよび SICAM P855 ファミリに複数の脆弱性
深刻度	基本値 5.5(AV:N/AC:H/PR:L/UI:R/S:C/C:L/I:L/A:L)(CVSSv3)
攻撃コード	現状確認されていない
対策	有り(アップデート、ワークアラウンド(回避策)およびリスク緩和策)
脆弱性番号	CVE-2023-30901(クロスサイトリクエストフォージェリ) CVE-2023-31238(重要なリソースに対する不適切なパーミッションの割り当て)
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-317-11

アドバイザリ
Siemens 社の Spectrum Power 4 に複数の脆弱性
深刻度	基本値 8.8(AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H)(CVSSv3) 基本値 8.7(AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N)(CVSSv4)
攻撃コード	現状確認されていない
対策	有り(アップデート、ワークアラウンド(回避策)およびリスク緩和策)
脆弱性番号	CVE-2024-32008(特権APIの不適切な使用) CVE-2024-32009(不適切な権限設定) CVE-2024-32010(重要なリソースに対する不適切なパーミッションの割り当て) CVE-2024-32011(信頼性のない制御領域からの機能の組み込み) CVE-2024-32014(重要なリソースに対する不適切なパーミッションの割り当て)
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-317-12

アドバイザリ
Siemens 社の LOGO! 8 BM デバイスに複数の脆弱性
深刻度	基本値 7.6(AV:A/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H)(CVSSv3) 基本値 8.6(AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N)(CVSSv4)
攻撃コード	現状確認されていない
対策	有り(ワークアラウンド(回避策)およびリスク緩和策)
脆弱性番号	CVE-2025-40815(古典的バッファオーバーフロー) CVE-2025-40816(重要な機能に対する認証の欠如) CVE-2025-40817(重要な機能に対する認証の欠如)
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-317-13

アドバイザリ
Siemens 社の Solid Edge に証明書検証に関する脆弱性
深刻度	基本値 7.5(AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N)(CVSSv3) 基本値 8.7(AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N)(CVSSv4)
攻撃コード	現状確認されていない
対策	有り(アップデート、リスク緩和策)
脆弱性番号	CVE-2025-40744
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-317-14

アドバイザリ
Siemens 社の COMOS に複数の脆弱性
深刻度	基本値 9.3(AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H)(CVSSv3)
攻撃コード	現状確認されていない
対策	有り(アップデート、ワークアラウンド(回避策)およびリスク緩和策)
脆弱性番号	CVE-2023-45133(不完全なブラックリスト) CVE-2024-0056(重要な情報の平文での送信)
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-317-15

アドバイザリ
Siemens 社の Altair Grid Engine に複数の脆弱性
深刻度	基本値 7.8(AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H)(CVSSv3)
攻撃コード	現状確認されていない
対策	有り(アップデート、ワークアラウンド(回避策)およびリスク緩和策)
脆弱性番号	CVE-2025-40760(エラーメッセージによる情報漏えい) CVE-2025-40763(制御されていない検索パスの要素)
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-317-16

アドバイザリ
Siemens 社の Software Center および Solid Edge に制御されていない検索パスの要素に関する脆弱性
深刻度	基本値 7.8(AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H)(CVSSv3) 基本値 8.5(AV:L/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N)(CVSSv4)
攻撃コード	現状確認されていない
対策	有り(アップデート、ワークアラウンド(回避策)およびリスク緩和策)
脆弱性番号	CVE-2025-40827
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-317-17

アドバイザリ【更新】
Festo 社のコントローラ CECC-S、CECC-LK、CECC-D ファミリのファームウェアに複数の脆弱性 2025年9月30日 CISA 公開分の更新(Update A) [更新内容] 脆弱性番号:情報更新
深刻度	基本値 9.8(AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)(CVSSv3)
攻撃コード	現状確認されていない
対策	有り(アップデート、ワークアラウンド(回避策)およびリスク緩和策)
脆弱性番号	CVE-2022-22515(誤った領域へのリソースの漏えい)他、計33個
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-273-04

CISA公開脆弱性情報のJVN iPediaでの検索

CISA公開脆弱性情報の検索には、JVN iPedia 詳細検索を活用ください。

特定のベンダ、または製品の脆弱性情報を検索したい場合
「ベンダ名」「製品」を指定 →「検索」

CISA公開脆弱性情報(ICS AdvisoryまたはAlert)を検索したい場合
・医療機器関連のアドバイザリ:「キーワード」に「ICSMA」と入力 →「検索」
(検索例:2017年のICSMAアドバイザリ)
・その他の制御システム関連(ネットワーク機器を含む)のアドバイザリ:「キーワード」に「ICSA」と入力 →「検索」
(検索例:2017年のICSAアドバイザリ)
・注意喚起:「キーワード」に「ICS-ALERT」と入力 →「検索」
(検索例:過去のICS Alert)

キーワードで検索したい場合
「キーワード」にキーワードを入力 →「検索」

必要に応じて、「公表日」「最終更新日」「深刻度」等で絞り込むことができます。検索機能の使い方については、検索の使い方を参照ください。

IPAにおける制御システムのセキュリティへの取組み

IPAにおける制御システムのセキュリティへの取組みは、「制御システムのセキュリティ」ページを参照ください。

お問い合わせ先

IPA セキュリティセンター(IPA/ISEC)

E-mail

isec-icsアットマークipa.go.jp

CISAが公開した脆弱性情報の内容に関しては、
CISA、またはベンダにお問い合わせください。