CISAが公開した制御システムの脆弱性情報(直近1ヶ月)

最終更新日:2025年10月20日

米国土安全保障省(DHS)のサイバーセキュリティ・インフラストラクチャセキュリティ庁(CISA: Cybersecurity and Infrastructure Security Agency)
が直近1ヶ月の間に公開した制御システムの脆弱性の概要を日本語で掲載しています(脚注1)。使用している制御システムの脆弱性情報の日々のチェックに役立ててください。更新は原則毎週月曜日です。

[2023年2月24日に、US-CERTとICS-CERTが廃止となり、CISAに統合されました。]

CISAが公開した脆弱性のうち、脆弱性番号(CVE)が採番されている脆弱性は、IPAの脆弱性対策情報データベース JVN iPedia でも公開している可能性があります。過去の制御システムの脆弱性を日本語でチェックしたい場合は、JVN iPediaを活用ください(JVN iPediaでのCISA公開脆弱性情報の検索方法については、「制御システムのセキュリティ」ページを参照ください)。

CISAが公開した脆弱性のIPAでの公開

なお、1つのアドバイザリに複数の脆弱性が含まれる場合、深刻度は「深刻度が1番高い脆弱性」の深刻度を記載しています。

(脚注1)

本ページに掲載しているのは、CISAが公開しているAdvisory/Alertのうち、制御システムの脆弱性に関する情報です。Alertであっても、攻撃キャンペーンに関するAlert等については掲載していないことがあります。

2025年10月16日公開

アドバイザリ
Rockwell Automation 社の FactoryTalk View Machine Edition および PanelView Plus 7 に複数の脆弱性
深刻度	基本値 7.5(AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H)(CVSSv3) 基本値 8.7(AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N)(CVSSv4)
攻撃コード	現状確認されていない
対策	有り(アップデート)
脆弱性番号	CVE-2025-9064(パス・トラバーサル) CVE-2025-9063(不適切な認可)
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-289-01

アドバイザリ
Rockwell Automation 社の FactoryTalk Linx に権限の連鎖に関する脆弱性
深刻度	基本値 7.8(AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H)(CVSSv3) 基本値 8.5(AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N)(CVSSv4)
攻撃コード	現状確認されていない
対策	有り(Microsoft社のパッチ適用、アップグレード)
脆弱性番号	CVE-2025-9067、CVE-2025-9068
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-289-02

アドバイザリ
Rockwell Automation 社の FactoryTalk ViewPoint に XML 外部エンティティの脆弱性
深刻度	基本値 7.5(AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H)(CVSSv3) 基本値 8.7.(AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N)(CVSSv4)
攻撃コード	現状確認されていない
対策	有り(アップグレード)
脆弱性番号	CVE-2025-9066
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-289-03

アドバイザリ
Rockwell Automation 社の ArmorStart AOP に XML 例外がキャッチされない問題に関する脆弱性
深刻度	基本値 7.5(AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H)(CVSSv3) 基本値 8.7(AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N)(CVSSv4)
攻撃コード	現状確認されていない
対策	ベンダのアドバイザリ参照
脆弱性番号	CVE-2025-9437
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-289-04

アドバイザリ
Siemens 社の Solid Edge に複数の脆弱性
深刻度	基本値 7.8(AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H)(CVSSv3) 基本値 7.3(AV:L/AC:H/AT:N/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N)(CVSSv4)
攻撃コード	現状確認されていない
対策	有り(アップデート、ワークアラウンド(回避策)およびリスク緩和策)
脆弱性番号	CVE-2025-40809(境界外書き込み) CVE-2025-40810(境界外書き込み) CVE-2025-40811(境界外読み取り) CVE-2025-40812(境界外読み取り)
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-289-05

アドバイザリ
Siemens 社の SiPass integrated に複数の脆弱性
深刻度	基本値 8.8(AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)(CVSSv3) 基本値 8.6(AV:A/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N)(CVSSv4)
攻撃コード	現状確認されていない
対策	有り(アップデート)
脆弱性番号	CVE-2023-35002(バッファエラー) CVE-2025-40772(クロスサイトスクリプティング) CVE-2025-40773(ユーザ制御の鍵による認証回避) CVE-2025-40774(復元可能な形式でのパスワード保存)
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-289-06

アドバイザリ
Siemens 社の SIMATIC ET 200SP の通信プロセッサに重要な機能に対する認証の欠如に関する脆弱性
深刻度	基本値 9.8(AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)(CVSSv3) 基本値 9.3(AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N)(CVSSv4)
攻撃コード	現状確認されていない
対策	有り(アップデート、ワークアラウンド(回避策)およびリスク緩和策)
脆弱性番号	CVE-2025-40771
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-289-07

アドバイザリ
Siemens 社の SINEC NMS に SQL インジェクションの脆弱性
深刻度	基本値 8.8(AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H)(CVSSv3) 基本値 8.7(AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N)(CVSSv4)
攻撃コード	現状確認されていない
対策	有り(アップデート、ワークアラウンド(回避策)およびリスク緩和策)
脆弱性番号	CVE-2025-40755
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-289-08

アドバイザリ
Siemens 社の TeleControl Server Basic に重要な機能に対する認証の欠如に関する脆弱性
深刻度	基本値 9.8(AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)(CVSSv3) 基本値 9.3(AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N)(CVSSv4)
攻撃コード	現状確認されていない
対策	有り(アップデート、ワークアラウンド(回避策)およびリスク緩和策)
脆弱性番号	CVE-2025-40765
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-289-09

アドバイザリ
Siemens 社の HyperLynx および Industrial Edge App Publisher に型の取り違えに関する脆弱性
深刻度	基本値 8.1(AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N)(CVSSv3) 基本値 7.0(AV:N/AC:L/AT:P/PR:H/UI:A/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N)(CVSSv4)
攻撃コード	現状確認されていない
対策	有り(アップデート、ワークアラウンド(回避策)およびリスク緩和策)
脆弱性番号	CVE-2025-6554
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-289-10

アドバイザリ
日立エナジーの MACH GWS に複数の脆弱性
深刻度	基本値 6.5(AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H)(CVSSv3) 基本値 7.1(AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N)(CVSSv4)
攻撃コード	現状確認されていない
対策	有り(アップデート、リスク緩和策)
脆弱性番号	CVE-2025-39201(不適切なデフォルトパーミッション) CVE-2025-39203(データの整合性検証不備) CVE-2025-39205(不正な証明書検証)
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-289-11

アドバイザリ【更新】
Schneider Electric 社の EcoStruxure に複数の脆弱性 2025年8月12日 CISA 公開分の更新(Update A) [更新内容] タイトル/影響を受ける製品:情報更新
深刻度	基本値 8.8(AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H)(CVSSv3) 基本値 8.7(AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N)(CVSSv4)
攻撃コード	現状確認されていない
対策	有り(ホットフィックス、アップグレード、リスク緩和策)
脆弱性番号	CVE-2025-54923(信頼性のないデータのデシリアライゼーション) CVE-2025-54924(サーバーサイドのリクエストフォージェリ) CVE-2025-54925(サーバーサイドのリクエストフォージェリ) CVE-2025-54926(パス・トラバーサル) CVE-2025-54927(パス・トラバーサル)
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-224-03

アドバイザリ【更新】
Delta Electronics 社の HMI ソフトウェア CNCSoft-G2 にスタックベースのバッファオーバーフローの脆弱性 2024年4月30日 CISA 公開分の更新(Update A) [更新内容] 影響を受ける製品/対策:情報更新
深刻度	基本値 7.8(AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H)(CVSSv3) 基本値 8.5(AV:L/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N)(CVSSv4)
攻撃コード	現状確認されていない
対策	有り(アップデート)
脆弱性番号	CVE-2024-4192、CVE-2025-58319
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-24-121-01

2025年10月14日公開

アドバイザリ
Rockwell Automation 社の 1715 EtherNet/IP に複数の脆弱性
深刻度	基本値 7.5(AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H)(CVSSv3) 基本値 7.7(AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:N/SC:N/SI:N/SA:H)(CVSSv4)
攻撃コード	現状確認されていない
対策	有り(アップグレード)
脆弱性番号	CVE-2025-9177(制限またはスロットリング無しのリソースの割り当て) CVE-2025-9178(境界外書き込み)
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-287-01

2025年10月9日公開

アドバイザリ
日立エナジーの Asset Suite に不適切なログ出力の無効化に関する脆弱性
深刻度	基本値 6.5(AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N)(CVSSv3) 基本値 6.0(AV:N/AC:L/AT:P/PR:L/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N)(CVSSv4)
攻撃コード	現状確認されていない
対策	有り(リスク緩和策)
脆弱性番号	CVE-2025-10217
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-282-01

アドバイザリ
Rockwell Automation 社製品の Cisco ライフサイクルサービスにスタックベースのバッファオーバーフローの脆弱性
深刻度	基本値 7.7(AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:N/A:H)(CVSSv3) 基本値 6.3(AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:N/VA:N/SC:N/SI:N/SA:H)(CVSSv4)
攻撃コード	現状確認されていない
対策	ベンダに連絡
脆弱性番号	CVE-2025-20352
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-282-02

アドバイザリ
Rockwell Automation 社のStratix にスタックベースのバッファオーバーフローの脆弱性
深刻度	基本値 7.7(AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:N/A:H)(CVSSv3) 基本値 6.3(AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:N/VA:N/SC:N/SI:N/SA:H)(CVSSv4)
攻撃コード	現状確認されていない
対策	有り(アップデート)
脆弱性番号	CVE-2025-20352
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-282-03

アドバイザリ【更新】
三菱電機の複数の FA 製品に入力で指定された数量の不適切な検証に関する脆弱性 2025年5月8日 CISA 公開分の更新(Update A) [更新内容] タイトル/深刻度/影響を受ける製品/対策:情報更新
深刻度	基本値 7.5(AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H)(CVSSv3) 基本値 8.7(AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N)(CVSSv4)
攻撃コード	現状確認されていない
対策	有り(アップデート、リスク緩和策)
脆弱性番号	CVE-2025-3511
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-128-03

2025年10月7日公開

アドバイザリ
Delta Electronics 社の DIAScreen に境界外書き込みに関する脆弱性
深刻度	基本値 6.6(AV:L/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:H)(CVSSv3) 基本値 6.8(AV:L/AC:L/AT:N/PR:N/UI:A/VC:L/VI:L/VA:H/SC:N/SI:N/SA:N)(CVSSv4)
攻撃コード	現状確認されていない
対策	有り(アップデート)
脆弱性番号	CVE-2025-59297、CVE-2025-59298、CVE-2025-59299、CVE-2025-59300
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-280-01

アドバイザリ【更新】
Rockwell Automation 社の 1756-EN4TR、1756-EN4TRXT に複数の脆弱性 2025年8月21日 CISA 公開分の更新(Update B) [更新内容] タイトル/影響を受ける製品:情報更新
深刻度	基本値 6.5(AV:A/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H)(CVSSv3) 基本値 7.1(AV:A/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N)(CVSSv4)
攻撃コード	現状確認されていない
対策	有り(アップグレード)
脆弱性番号	CVE-2025-8007(不適切な入力確認) CVE-2025-8008(例外的な状態における不適切な処理)
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-226-31

2025年10月2日公開

アドバイザリ
Raise3D 社の 3D プリンタ Pro2 シリーズに代替パスまたはチャネルを使用した認証回避に関する脆弱性
深刻度	基本値 8.6(AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L)(CVSSv3) 基本値 8.8(AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:L/VA:L/SC:N/SI:N/SA:N)(CVSSv4)
攻撃コード	現状確認されていない
対策	ベンダ対応中
脆弱性番号	CVE-2025-10653
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-275-01

アドバイザリ
日立エナジーのモジュール型開閉装置監視 (MSM ) に複数の脆弱性
深刻度	基本値 7.5(AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H)(CVSSv3)
攻撃コード	現状確認されていない
対策	有り(リスク緩和策)
脆弱性番号	CVE-2023-53155(クロスサイトスクリプティング) CVE-2024-53429(到達可能なアサーション)
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-275-02

2025年9月30日公開

アドバイザリ
Megasys Enterprises 社の Telenium Online Web Application に OS コマンドインジェクションの脆弱性
深刻度	基本値 9.8(AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)(CVSSv3) 基本値 9.3(AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N)(CVSSv4)
攻撃コード	現状確認されていない
対策	有り(修正プログラム適用)
脆弱性番号	CVE-2025-10659
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-273-01

アドバイザリ
Festo 社の SBRD-Q/SBOC-Q/SBOI-Q に複数の脆弱性
深刻度	基本値 8.2(AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:H)(CVSSv3)
攻撃コード	現状確認されていない
対策	有り(リスク緩和策)
脆弱性番号	CVE-2021-27478(数値型間の変換の誤り) CVE-2021-27482(境界外読み取り) CVE-2021-27500(到達可能なアサーション) CVE-2021-27498(到達可能なアサーション)
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-273-02

アドバイザリ
Festo 社の CPX-CEC-C1 および CPX-CMXX に権限管理に関する脆弱性
深刻度	基本値 7.5(AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H)(CVSSv3)
攻撃コード	現状確認されていない
対策	有り(リスク緩和策)
脆弱性番号	CVE-2022-3079
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-273-03

アドバイザリ
Festo 社のコントローラ CECC-S、CECC-LK、CECC-D のファームウェアに複数の脆弱性
深刻度	基本値 9.8(AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)(CVSSv3)
攻撃コード	現状確認されていない
対策	有り(アップグレード、ワークアラウンド(回避策)およびリスク緩和策)
脆弱性番号	CVE-2022-22515(誤った領域へのリソースの漏えい)他、計29個
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-273-04

アドバイザリ
オープンソースの PLC ソフトウェア OpenPLC_V3 に未定義、未指定、または実装定義の動作への依存に関する脆弱性
深刻度	基本値 7.1(AV:L/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H)(CVSSv3) 基本値 6.1(AV:L/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:N/SC:N/SI:N/SA:H)(CVSSv4)
攻撃コード	現状確認されていない
対策	有り(アップデート)
脆弱性番号	CVE-2025-54811
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-273-05

アドバイザリ
National Instruments 社の Circuit Design Suite に複数の脆弱性
深刻度	基本値 7.8(AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H)(CVSSv3) 基本値 8.4(AV:L/AC:L/AT:N/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N)(CVSSv4)
攻撃コード	現状確認されていない
対策	有り(アップデート)
脆弱性番号	CVE-2025-6033(型の取り違え) CVE-2025-6034(境界外読み取り)
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-273-06

アドバイザリ
LG Innotek 社の CCTV カメラに代替パスまたはチャネルを使用した認証回避に関する脆弱性
深刻度	基本値 8.6(AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L)(CVSSv3) 基本値 8.8(AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:L/VA:L/SC:N/SI:N/SA:N)(CVSSv4)
攻撃コード	現状確認されていない
対策	サポート終了製品のため修正プログラム提供予定なし
脆弱性番号	CVE-2025-10538
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-273-07

アドバイザリ【更新】
Keysight 社の Ixia Vision 製品ファミリに複数の脆弱性 2025年3月4日 CISA 公開分の更新(Update A) [更新内容] 深刻度/脆弱性番号:情報更新
深刻度	基本値 7.5(AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N)(CVSSv3) 基本値 8.7(AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N)(CVSSv4)
攻撃コード	現状確認されていない
対策	有り(アップグレード)
脆弱性番号	CVE-2025-24494(パス・トラバーサル) CVE-2025-24521(XML外部エンティティ参照の不適切な制限) CVE-2025-21095(パス・トラバーサル) CVE-2025-23416(パス・トラバーサル) CVE-2025-24525(ハードコードされた暗号鍵の使用)
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-063-02

アドバイザリ【更新】
HEIDENHAIN 社の CNC 制御装置 TNC 640 にリソースの安全ではないデフォルト値への初期化に関する脆弱性 2022年10月25日 CISA 公開分の更新(Update A) [更新内容] タイトル/影響を受ける製品/CWE/深刻度:情報更新
深刻度	基本値 8.1(AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H)(CVSSv3) 基本値 9.2(AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N)(CVSSv4)
攻撃コード	現状確認されていない
対策	有り(ワークアラウンド(回避策)およびリスク緩和策)
脆弱性番号	CVE-2022-41648
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-22-298-02

アドバイザリ【更新】
Rockwell Automation 社の FLEX 5000 I/O に入力確認に関する脆弱性 2025年8月14日 CISA 公開分の更新(Update A) [更新内容] CVE:情報更新
深刻度	基本値 7.5(AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H)(CVSSv3) 基本値 8.7(AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N)(CVSSv4)
攻撃コード	現状確認されていない
対策	有り(アップグレード)
脆弱性番号	CVE-2025-9041、CVE-2025-9042
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-226-26

2025年9月25日公開

アドバイザリ
Dingtian 社の DT-R002 に認証情報の不十分な保護に関する脆弱性
深刻度	基本値 7.5(AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N)(CVSSv3) 基本値 8.7(AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N)(CVSSv4)
攻撃コード	現状確認されていない
対策	ベンダに連絡
脆弱性番号	CVE-2025-10879、CVE-2025-10880
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-268-01

2025年9月23日公開

アドバイザリ
AutomationDirect 社の CLICK PLUS に複数の脆弱性
深刻度	基本値 8.3(AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:L)(CVSSv3) 基本値 8.7(AV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:L/SC:N/SI:N/SA:N)(CVSSv4)
攻撃コード	現状確認されていない
対策	有り(ファームウェア・アップデート、リスク緩和策)
脆弱性番号	CVE-2025-54855(重要な情報の平文保存) CVE-2025-58069(ハードコードされた暗号鍵の使用) CVE-2025-59484(不完全、または危険な暗号アルゴリズムの使用) CVE-2025-55069(PRNG の予測可能なシード) CVE-2025-58473(リソースの不適切なシャットダウンおよびリリース) CVE-2025-55038(認証の欠如) CVE-2025-57882(リソースの不適切なシャットダウンおよびリリース)
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-266-01

アドバイザリ
三菱電機の MELSEC Q シリーズの CPUモジュールに長さのパラメータの不適切な処理に関する脆弱性
深刻度	基本値 6.8(AV:N/AC:H/PR:N/UI:N/S:C/C:N/I:N/A:H)(CVSSv3)
攻撃コード	現状確認されていない
対策	有り(リスク緩和策)
脆弱性番号	CVE-2025-8531
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-266-02

アドバイザリ
Schneider Electric 社の SESU にリンク解釈に関する脆弱性
深刻度	基本値 7.3(AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:H)(CVSSv3)
攻撃コード	現状確認されていない
対策	有り(アップデート、ワークアラウンド(回避策)およびリスク緩和策)
脆弱性番号	CVE-2025-5296
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-266-03

アドバイザリ
Viessmann 社の Vitogate 300 に複数の脆弱性
深刻度	基本値 8.8(AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)(CVSSv3) 基本値 8.7(AV:A/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N)(CVSSv4)
攻撃コード	現状確認されていない
対策	有り(アップグレード)
脆弱性番号	CVE-2025-9494(OSコマンドインジェクション) CVE-2025-9495(サーバ側のセキュリティのクライアント側での実施)
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-266-04

アドバイザリ【更新】
日立エナジーのリモートターミナルユニット RTU500 シリーズにセキュリティチェックに関する脆弱性 2025年1月23日 CISA 公開分の更新(Update A) [更新内容] 対策:情報更新
深刻度	基本値 7.2(AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H)(CVSSv3)
攻撃コード	現状確認されていない
対策	有り(ファームウェア・アップデート、リスク緩和策)
脆弱性番号	CVE-2024-2617
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-023-02

アドバイザリ【更新】
日立エナジーの RTU500 シリーズに複数の脆弱性 2025年4月3日 CISA 公開分の更新(Update B) [更新内容] 対策:情報更新
深刻度	基本値 7.5(AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H)(CVSSv3) 基本値 8.7(AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N)(CVSSv4)
攻撃コード	現状確認されていない
対策	有り(アップデート、ワークアラウンド(回避策)およびリスク緩和策)
脆弱性番号	CVE-2024-10037(NULLポインタデリファレンス) CVE-2024-11499(NULLポインタデリファレンス) CVE-2024-12169(不十分なリソースプール) CVE-2025-1445(同期の欠如)
参照	https://www.cisa.gov/news-events/ics-advisories/icsa-25-093-01

CISA公開脆弱性情報のJVN iPediaでの検索

CISA公開脆弱性情報の検索には、JVN iPedia 詳細検索を活用ください。

特定のベンダ、または製品の脆弱性情報を検索したい場合
「ベンダ名」「製品」を指定 →「検索」

CISA公開脆弱性情報(ICS AdvisoryまたはAlert)を検索したい場合
・医療機器関連のアドバイザリ:「キーワード」に「ICSMA」と入力 →「検索」
(検索例:2017年のICSMAアドバイザリ)
・その他の制御システム関連(ネットワーク機器を含む)のアドバイザリ:「キーワード」に「ICSA」と入力 →「検索」
(検索例:2017年のICSAアドバイザリ)
・注意喚起:「キーワード」に「ICS-ALERT」と入力 →「検索」
(検索例:過去のICS Alert)

キーワードで検索したい場合
「キーワード」にキーワードを入力 →「検索」

必要に応じて、「公表日」「最終更新日」「深刻度」等で絞り込むことができます。検索機能の使い方については、検索の使い方を参照ください。

IPAにおける制御システムのセキュリティへの取組み

IPAにおける制御システムのセキュリティへの取組みは、「制御システムのセキュリティ」ページを参照ください。

お問い合わせ先

IPA セキュリティセンター(IPA/ISEC)

E-mail

isec-icsアットマークipa.go.jp

CISAが公開した脆弱性情報の内容に関しては、
CISA、またはベンダにお問い合わせください。