対象は工場やプラントの現場機器

2026年7月のSiemens製品向けアップデートでは、SICAM 8製品群、SIMATIC S7-1500 CPU、Opcenter X、RUGGEDCOM APE1808、Mendixなど、工場やプラントの制御に直結する製品群を中心に、新規10件・既報7件の脆弱性がまとめて公開されました。脆弱性の種類はバッファオーバーフロー、トークンの無効化不備、サービス拒否、クロスサイトスクリプティングなど多岐にわたります。

Patch Tuesdayとの温度差

Microsoftの月例セキュリティ更新は公開後すぐに適用するのが基本ですが、ICS(産業用制御システム)の世界では事情が異なります。生産ラインや発電設備は「止められない」ことが多く、脆弱性が見つかってもすぐには修正版を適用できず、次の計画停止のタイミングまで待つ現場も珍しくありません。同じ「月例アップデート」という形式でも、対応にかけられる時間はIT機器とは一桁違うことがあります。

継続的な監査の裏側

月次で一定数の脆弱性が報告され続けている状況は、悪い兆候というより継続的な監査体制が機能している証でもあります。個々の脆弱性のCVSSスコアや修正版の詳細はJVNの記載だけでは分からないため、対象製品を持つ現場はSiemensの公式セキュリティアドバイザリ(SSA)を個別に確認する必要があります。詳細はJVNの掲載ページから辿ることができます。