Advantech WebAccess/SCADAに深刻な脆弱性、産業システムが攻撃リスクにさらされる

Advantech WebAccess/SCADAの深刻な脆弱性が産業制御システムを脅かす

米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、Advantech WebAccess/SCADAに存在する2件の高リスク脆弱性を公表した。この産業用オートメーションソフトウェアスイートの脆弱性が悪用されると、認証済みの攻撃者がリモートデータベースの読み取りや改ざんを行い、重要な運用技術（OT）環境に深刻な影響を及ぼす可能性がある。

脆弱性の技術的詳細

CISAのアドバイザリ（ICSA-25-352-06）によると、影響を受けるバージョンは以下の通り：

• WebAccess/SCADA バージョン9.1.6以前

これらの脆弱性は以下のように追跡されている：

• CVE-2025-28004（CVSSスコア未定） – 認証済みの攻撃者がリモートデータベースから機密データを読み取ることを許可。
• CVE-2025-28005（CVSSスコア未定） – 認証済みの攻撃者がデータベースレコードを改ざんまたは削除することを許可。

CISAのアドバイザリには、セキュリティチーム向けの追加技術情報を含むCSAF（Common Security Advisory Framework）ドキュメントが含まれている。

影響分析

これらの脆弱性が悪用されると、以下のような影響が考えられる：

• 機密性の高い産業データへの不正アクセス – 設定情報や運用ログなどが漏洩する可能性。
• 重要なデータベースレコードの改ざん – OT環境におけるシステム障害や安全インシデントを引き起こす恐れ。
• 産業ネットワーク内での横展開 – 侵害されたデータベースがさらなる攻撃の足がかりとなる可能性。

エネルギー、製造、水処理などの分野で広く使用されている同ソフトウェアの脆弱性は、産業制御システム（ICS）に重大なリスクをもたらす。

緩和策と推奨事項

CISAは、影響を受けるバージョンのAdvantech WebAccess/SCADAを使用している組織に対し、以下の対策を推奨している：

1. パッチまたはアップデートを適用 – Advantechがリリース次第、速やかに適用する。
2. データベースアクセスの制限 – 権限を持つ担当者のみにアクセスを制限し、最小権限の原則を徹底する。
3. 不審な活動の監視 – 不正なデータベースクエリや改ざんを特に監視する。
4. OTネットワークのセグメンテーション – 脆弱性が悪用された場合の影響を最小限に抑えるため、ネットワークを分割する。

セキュリティチームは、完全なアドバイザリ（ICSA-25-352-06）および付随するCSAFドキュメントを確認し、さらなるガイダンスを得ることが推奨される。

最新情報については、CISAのICSアドバイザリページをフォロー。