工場・エネルギー設備などの運用担当者向けです。対象機器があれば保守担当と修正計画を立てますが、稼働設備へ一般PCと同じ感覚で一斉更新や脆弱性スキャンを行わないでください。機器の可用性、通信、安全手順を確認した上で適用します。
JVNの10月21日の案内には、CISAの10月20日分として新規4勧告と更新1勧告が載っています。製品群はPCAN、Moxa AIG-302、MicroSCADA X SYS600、RTU500の4つです。これは5個のCVEという意味ではありません。CISAのWeb本文は取得制限があったため、本稿ではCISA公式GitHubのCSAF（機械で読める勧告データ）を照合しました。
4つの製品群で、直すものと影響の条件が違う
| 製品群 | 主な問題・条件 | 対象と対応の入口 |
|---|---|---|
| HMS Networks PEAK-System PCAN Windowsドライバー | ローカルの低い権限からのメモリ処理不備など6件。Windowsカーネルの停止のおそれ | PCANドライバー5.1.2以前、Setup 5.1.2.1151以前。勧告は5.1.4で対処と記載 |
| Moxa AIG-302 ThingsPro Edge | 隣接ネットワークからの機密情報アクセス、埋め込まれた秘密鍵に関する2件 | ファームウェア1.4.0以前 → 1.4.1 |
| Hitachi Energy MicroSCADA X SYS600 | CSVインジェクション、権限昇格など3件。CVEごとに条件が違う | 10.7以前の更新先は10.8。ただし9853は10.8でも追加の緩和手順が必要 |
| Hitachi Energy RTU500 | 通信停止、XML処理、通信ライブラリなど。新規勧告に9 CVE、更新された既存勧告に4 CVE | CMU Firmwareの系列とCVEを対応表で照合。13.9.1や12.7.8など、対象系列ごとに異なる |
PCANの根拠はICSA-26-293-01の公式データです。6件はCVE-2026-109576、101103、94188、103672、110322、105960。CISA掲載のCVSS v3.1は103672が7.1、ほかは5.5です。CISAはこの勧告について既知の公開悪用の報告はなく、遠隔からの悪用ではないとしています。この条件を他製品へ流用しません。
Moxa：管理画面の版と、通信の信頼を確認する
ICSA-26-293-03のCVE-2026-109812は、認証された特権利用者が隣接ネットワークから機密情報へアクセスし得る問題、109813は認証なしの隣接攻撃者が露出した鍵を利用し得る問題です。掲載CVSS v3.1はそれぞれ6.8／8.1。「どちらもインターネット越しに無条件で攻撃できる」とは読み替えません。
勧告は1.4.1への更新を示し、Web ConsoleのMaintenance → Software Upgradesからの取得、または公式配布物の手動アップロードを案内しています。設備を更新のためだけにインターネットへ開放する必要はありません。適用後は管理画面の版、通常のデータ収集、通信・証明書の状態を保守担当が確認します。
MicroSCADA：10.8へ更新しただけで全件完了にしない
ICSA-26-293-04はCVE-2026-9852／9853／9854を扱い、掲載CVSS v3.1は5.0／7.8／7.8です。9852はログをCSVで開く際などの数式注入、9854はエンジニアリングツールへのアクセスを持つ利用者による権限昇格です。
9853はサーバーOSへの認証済み利用者が前提です。10.8にも影響すると公式データに記載され、更新に加えてInstallation and Administration Manualの2.1.7.5などの緩和手順を参照するよう案内されています。対象条件と実施記録をCVE別に残します。「10.8」とだけ記録して全件を閉じることはできません。このメーカー資料の初回公開は9月1日で、10月20日はCISAの再掲載です。
RTU500：古い勧告の修正版が、次の勧告では対象になる
新しいICSA-26-293-05の対象には、13.5.1〜13.5.4、13.6.1〜13.6.3、13.7.1〜13.7.8、13.8.1〜13.8.2が含まれます。12.7.1〜12.7.7は一部CVEの対象です。9件の識別子はCVE-2026-17539、28388、6732、6653、6276、9079、11856、8927、8932。CISA公式データのCVSS v3.1は最大8.8です。すべてのCVEがすべての系列へ影響するとは限りません。
勧告は13系で13.9.1などへの更新を示し、一部系列の代替版には提供予定や注記があります。12系の対象CVEには12.7.8または13.9.1への移行が示されています。機器との互換性や代替版の提供状況は保守窓口で確定し、予定版を取得済みとして扱わないでください。
同時に更新されたICSA-26-062-03はCVE-2026-1772／1773、CVE-2024-8176、CVE-2025-59375です。そこにある13.7.8や13.8.2という修正版だけを根拠に、新しい勧告まで対応済みとしないことが重要です。新旧の勧告とCVEを行ごとに管理します。
保守担当へ渡す、停止と復旧を含む作業票
- 1機種、設置場所、実行版、用途、冗長構成、保守契約と責任者を既存台帳から照合する。実機への探索スキャンはこの記事の手順に含めない。
- 2対象CVE、到達条件、メーカーの修正・緩和手順を紐付ける。Webの新着日と元のメーカー発表日を分ける。
- 3設定の保全、復旧手順、予備機や試験環境、作業時間帯、安全確認と中止条件を保守担当と決める。
- 4正式な配布経路から対応する修正を入手し、署名など配布元の確認手順に従う。稼働設備は承認された手順で順次適用する。
- 5適用版だけでなく、通常通信、監視、冗長切り替え、アラーム、安全に関わる機能の確認結果を残す。未知の項目は未完了にする。
ネットワーク分離、不要な遠隔接続の停止、管理端末の制限は露出を減らす施策ですが、CVEごとの修正を代替すると一律には言えません。PCAN以外の各製品の実悪用状況について、本稿は一括した断定をしません。一般の従業員が制御機器を自己判断で再起動することも避け、設備の責任者へつないでください。
LLMに依頼する、根拠付きの点検
以下は編集部が作成した棚卸し用の指示文です。LLMの回答は安全性の保証にはなりません。未確認項目を残し、担当者が公式資料と実際の稼働状態を照合してください。
あなたは防御目的の運用点検担当です。権限のある自社環境について、提供した匿名化済み台帳と公式勧告だけで読み取り専用の棚卸しをしてください。 PCAN、Moxa AIG-302、MicroSCADA SYS600、RTU500の既存台帳をCISA勧告別・CVE別に整理してください。9853の追加緩和、RTU500の新旧勧告の違い、予定版と提供済み版を区別し、安全・停止・復旧の確認事項を列挙してください。実機への探索や設定変更は行わないでください。 各項目を「対象」「対象外（根拠付き）」「未確認」に分け、根拠URL・配布元・稼働版・条件・担当者・修正版または未確認事項・確認期限を表にしてください。版だけで安全と断定しないでください。秘密鍵、トークン、パスワード、個人情報を要求せず、設定変更や攻撃再現、外部へのスキャンは実行しないでください。更新案と回帰確認案は作成しても、適用は担当者の判断に分けてください。
点検指示文をダウンロード。基本の進め方は脆弱性のトリアージも参照してください。
確認日：2026年10月22日。公開された一次資料を確認した解説であり、編集部がこの脆弱性の攻撃やパッチ適用を実環境で再現したものではありません。手順のうち優先順位・台帳・回帰確認は編集上の提案です。