ロックウェル・オートメーションは、産業施設で使用されているソフトウェアおよびコントローラーに存在していた十数件の脆弱性を修正しました。最も深刻な欠陥では、制御システムのコンポーネントを停止させたり、デバイス上でコードを実行したり、Windowsで SYSTEM権限を取得したりすることが可能でした。そのため今回の問題は、単にエンジニアの作業用端末にとどまらず、生産プロセスの制御を直接担う機器にも影響を及ぼします。
RSLinx Classicの4件の欠陥が最重要
とりわけ深刻なのは、ロックウェル・オートメーションのアプリケーションがAllen-Bradley製デバイスとデータをやり取りする際に用いるRSLinx Classicにおける4件の欠陥です。CVE-2026-9621、CVE-2026-9622、CVE-2026-9624、CVE-2026-9625の各脆弱性では、産業用プロトコルCIPの特殊に細工されたパケットによって、RSLinxサービスをクラッシュさせることが可能でした。復旧には運用担当者がサービスを再起動する必要があります。このうち2件はCVSS 4.0で10点満点中9.2、残る2件は8.7と評価されました。
Logixコントローラーにも同種の欠陥
これと似た問題であるCVE-2026-9637は、ControlLogix 5580、CompactLogix 5380、GuardLogix 5580、Compact GuardLogix 5380の各コントローラーに直接見つかりました。不正な形式のCIPメッセージによってサービス拒否が引き起こされ、コントローラーが「Major Nonrecoverable Fault」状態に陥る恐れがあります。単に接続を復旧するだけでは不十分で、機器を復旧させるには電源の再投入が必要です。ロックウェルはCVE-2026-9637をCVSS 4.0で8.7と評価し、修正済みファームウェアのバージョン34.015、35.014、36.013、37.011をリリースしました。
CVE-2026-9637の悪用状況をめぐっては混乱も生じました。ロックウェルのアドバイザリのヘッダーには「Known Exploited Vulnerability(既知の悪用された脆弱性)」の表示が付いている一方、同じページの技術的な説明では、既知の攻撃は存在しないと記載されています。CISAもまた、悪用が確認されたとは報告していません。したがって、CVE-2026-9637がすでに実際の攻撃で使用されていると見なすことはできません。
修正版が提供されない製造終了のEthernetモジュール
別の脆弱性であるCVE-2026-84235は、産業用Ethernetモジュール1756-ENBTの全バージョンに影響します。特殊に細工された単一のCIPパケットによってモジュールをクラッシュさせることが可能で、その後は再起動が必要になります。1756-ENBTについては、すでに製造終了となっているため、修正済みファームウェアは提供されません。ロックウェルは、より新しい1756-EN2Tまたは1756-EN4TRへの移行を推奨しています。
FactoryTalk Historianでリモートコード実行
FactoryTalk Historian Machine Editionでは、さらに深刻な結果を招く恐れがあります。CVSSスコア8.6と評価された脆弱性CVE-2025-12768により、最小限の権限しか持たないユーザーでも、Historian MEモジュール上でリモートコード実行を達成できます。2件目の欠陥であるCVE-2026-12661は、隣接するネットワークセグメントにいる認証済みユーザーが、Webインターフェースに特殊に細工したリクエストを送信することで、バッファオーバーフローを引き起こし、デバイスを応答不能にすることを可能にします。ロックウェルは両方の問題を、Series C向けバージョン7.102およびSeries B向けバージョン5.203で修正しました。
ArmorStart LTに2種類の脆弱性
ArmorStart LTでは、性質の異なる2種類の問題が見つかりました。CVE-2026-19471にまとめられている複数の欠陥は、格納型XSSの注入を許すもので、悪意のあるスクリプトがデバイス上に保存され、感染したページを開いた別のユーザーのブラウザ上で実行される恐れがあります。CVE-2026-19472では、特殊に細工されたHTTP PUTリクエストによって、組み込みのWebサーバーを停止させることが可能です。両方の問題は、ArmorStart LT 2.002で修正済みです。
FactoryTalk Activation Managerで権限昇格
FactoryTalk Activation Managerの脆弱性CVE-2026-16675は、新たな攻撃経路を開くものです。製品のインストールまたは修復作業の際、特定の操作によってSYSTEM権限を持つ、目に見えるコンソールウィンドウが起動します。同じマシン上にすでにWindowsアカウントを持つユーザーであれば、このコンソールを乗っ取り、ファイル・プロセス・システムリソースへの完全なアクセス権を得ることが可能です。ロックウェルは、この権限昇格の問題を、FactoryTalk Activation Manager 5.03で修正しました。
Redundancy Configuration ToolにDLL読み込みの欠陥
さらに2件の脆弱性、CVE-2026-9633とCVE-2026-9634は、Redundancy Module Configuration ToolにおけるDLLの読み込みに関するものです。ユーティリティであるRM3ConfigTool.exeおよびRMConfigTool.exeは、必要なライブラリを、一般ユーザーが書き込み可能なディレクトリから探しに行ってしまう場合があります。ローカルの攻撃者はそこに悪意のあるDLLを配置し、管理者がプログラムを起動するのを待つことで、Administratorまたは SYSTEM権限でコードを実行できます。脆弱なバージョンは10.01.00に更新されました。
ControlFLASHのインストーラーで権限が過剰
最後に、コントローラーをはじめとするAllen-Bradley製デバイスのファームウェア更新に使用されるControlFLASHでは、インストーラーがプログラムディレクトリに対して過度に広い権限を付与していました。CVE-2026-12663により、ローカルユーザーがそのディレクトリの中身を差し替え、ログイン中のユーザーの権限で任意のコードを実行することが可能です。この欠陥は、ControlFLASH 15.08で解決されました。まだ更新できないシステムについては、プログラムディレクトリへのアクセス権を持つユーザーの一覧からEveryoneグループを削除するよう、メーカーは提案しています。
大規模な悪用は未確認、それでもリスクは大きい
9月1日に公表されたこれらの脆弱性について、大規模な悪用が確認された事例は今のところありません。しかし産業インフラにおいては、通常のDoS攻撃であっても、一般的なユーザーアプリケーションのクラッシュより深刻な結果を招きます。脆弱なコンポーネントがコントローラーとの通信を担っていたり、あるいは技術的なプロセス自体を制御していたりする場合があり、一部のデバイスの復旧には物理的な再起動が求められるためです。ロックウェルは、修正済みバージョンの導入、コントローラーをインターネットに直接公開しないこと、そして産業ネットワークを企業インフラから分離することを推奨しています。
翻訳元: https://meterpreter.org/rockwell-automation-ics-vulnerabilities/
