しらべベース / 全サイトを探すアカウント防犯しらべの条件検索・比較保存範囲・台帳

三菱電機GENESIS64など10製品に認証回避の脆弱性 — 対象バージョン・修正版と軽減策を一次情報で解説（2026年10月23日公表）

・ アカウント乗っ取り・注意喚起速報ニュース編集部（AI 執筆）

アカウント乗っ取りパスワード流出不正ログイン二段階認証フィッシング

この記事のポイント: 三菱電機のGENESIS64・ICONICS Suiteなど10製品に認証回避を含む4件の脆弱性が判明し、JVNが2026年10月23日に注意喚起を公表しました。CVE-2026-16436はチャレンジレスポンスが全ユーザー共通の固定値で、CVSS 4.0で9.2。対策は修正版への更新または軽減策の適用です。

三菱電機GENESIS64など10製品に認証回避の脆弱性 — 対象バージョン・修正版と軽減策を一次情報で解説（2026年10月23日公表）

三菱電機の工場・ビル向け監視制御ソフト「GENESIS64」「ICONICS Suite」など10製品に、認証回避を含む4件の脆弱性が判明し、JVNが2026年10月23日に注意喚起を公表しました。中でもCVE-2026-16436は、システムのロック解除に使うチャレンジレスポンスが全ユーザーで共通の固定値になっており、チャレンジレスポンスを入手すれば誰でもシステムのロックを解除できるというもの（CVSS 4.0で9.2）。対策は、修正版が提供されている製品はICONICS Suite 10.98以降などへの更新、修正版がリリースされないMC Works64・GENESIS32・BizVizは軽減策・回避策の適用です。

この記事の要点を最初にまとめます。工場や設備の監視画面を動かしているPCは、一般のパソコンより停止や改ざんの影響が大きいため、対象バージョンの確認を先に済ませてください。

何が起きたか（要点）

対象製品とバージョン

自分の環境が該当するかは、Windowsのコントロールパネル→「プログラムと機能」でインストール済みソフトの名前とバージョンを確認します。GENESISは「GENESIS」と表示され、バージョンが「11.3.578」以前なら該当します。GENESIS64はICONICS Suiteに同梱されるため表示名が「ICONICS Suite」となり、バージョン「10.97.020.27」から「10.97.212.46」までであればCVE-2023-4863の対象、「10.97.306.55」以前であればCVE-2026-16436・16437の対象です（三菱電機PSIRT 2026-006の確認方法）。

4つの脆弱性と影響

対策（どうするか）

よくある質問

Q. 自分の環境が該当するかどうか調べるには？

該当PCのWindowsコントロールパネル→「プログラムと機能」で確認します。表示名が「GENESIS」でバージョン11.3.578以前、「ICONICS Suite」で10.97.020.27〜10.97.212.46（CVE-2023-4863）または10.97.306.55以前（CVE-2026-16436・16437）なら対象です。表示名がICONICS Suiteでも、GENESIS64・Hyper Historian・AnalytiX・MobileHMI・IoTWorXが同梱されている点に注意してください（三菱電機PSIRT 2026-006）。

Q. MC Works64・GENESIS32・BizVizは修正版がないのでどうすればいいですか？

三菱電機PSIRT文書は、これらの製品には修正版のリリース予定がなく、「軽減策・回避策」の実施を推奨しています。具体的には管理者以外のログイン制限、LAN内での運用、ファイアウォール・VPNによる管理、物理アクセスの制限などで、CVE-2026-16436・16437についてはチャレンジテーブルの.datファイルを空ファイルに置き換えて権限を制限する手順が示されています。継続利用が難しい場合は後継製品（GENESIS64またはGENESIS）への置き換えが案内されています。

Q. CVE-2026-16436の認証回避は、アカウント乗っ取りとどう関係しますか？

この脆弱性は、監視制御ソフト自身の認証（システムのロック解除）を迂回できるものです。CVSS 4.0で9.2、ネットワーク経由（AV:N）で権限不要（PR:N）と評価されており、チャレンジレスポンスという共通の固定値を入手すれば正しいアカウント情報なしでロックを解除できます。システムのロックを解除された監視PCは、画面の操作や内部情報の窃取につながる恐れがあります。監視PCのアカウントで他のサービスと同じパスワードを使い回している場合は使い回しを見直し、可能な範囲で二段階認証を設定してください。

アカウント乗っ取り・パスワード流出の注意喚起を速報でお届けしているのが、このメディア「アカウント乗っ取り・注意喚起速報ニュース」です。新しい注意喚起が公表されたときは、利用者が取るべき手順と一緒にまとめてお伝えします。

出典: JVN「三菱電機製の複数製品における複数の脆弱性（2026-006）」JVNVU#93251594、2026年10月23日公表（2026年10月23日取得）。三菱電機 PSIRT「GENESIS、GENESIS64、ICONICS Suite、Hyper Historian、AnalytiX、MobileHMI、IoTWorX、MC Works64、GENESIS32 及び BizViz における複数の脆弱性」2026-006、2026年10月15日公開（2026年10月23日取得）。ICONICS 製品ダウンロードページ（三菱電機PSIRT文書の案内リンク、2026年10月23日取得）。

この記事は AI が一次ソースを読んで執筆しました。数値と日付は出典に記した公式情報の執筆時点の値です。誤りを見つけたら訂正の窓口へお知らせください。確認のうえ本文を直し、訂正履歴に残します。編集方針