Schneider Electric製品にCODESYS Runtimeの深刻な脆弱性（CVE-2025-4999、CVE-2025-5000）が確認される

Schneider Electric、CODESYS Runtimeの重大な脆弱性に対応

Schneider Electricは、同社の産業用制御システム（ICS）製品に組み込まれているCODESYS Runtime V3通信サーバーに複数の脆弱性が存在することを認めました。これらの脆弱性は、サイバーセキュリティおよびインフラストラクチャセキュリティ庁（CISA）によって公表され、悪用された場合、サービス拒否（DoS）攻撃やリモートコード実行（RCE）を引き起こす可能性があります。

技術的詳細

これらの脆弱性は、運用技術（OT）環境で広く使用されているCODESYS Runtime V3通信サーバーに影響を及ぼします。Schneider ElectricおよびCISAのアドバイザリーでは、以下のCVE識別子が参照されています：

• CVE-2025-4999：CODESYS通信サーバーにおけるバッファオーバーフローの脆弱性で、RCEやDoSを引き起こす可能性があります。
• CVE-2025-5000：不適切な入力検証の脆弱性で、攻撃者がランタイムをクラッシュさせたり、任意のコードを実行したりする可能性があります。

これらの脆弱性は、CODESYS Runtimeがプログラマブルロジックコントローラー（PLC）、ヒューマンマシンインターフェース（HMI）、およびその他のOTデバイスに広く導入されている産業環境において、特に懸念されます。

影響分析

これらの脆弱性が悪用されると、以下のような深刻な影響が生じる可能性があります：

• 運用の中断：攻撃者がDoS状態を引き起こし、産業プロセスを停止させ、ダウンタイムを発生させる可能性があります。
• 不正な制御：RCE脆弱性により、脅威アクターが影響を受けるデバイスを制御し、産業操作を操作する可能性があります。
• 横方向への移動：侵害されたデバイスが、OT環境におけるネットワークのより深い侵入のためのエントリーポイントとして機能する可能性があります。

Schneider Electricは、アドバイザリーの公開時点でこれらの脆弱性が実際に悪用された報告はないとしています。しかし、CODESYS Runtimeが複数のベンダーにわたって広く使用されていることから、潜在的な攻撃対象領域が拡大しています。

推奨対策

Schneider ElectricおよびCISAは、組織に対して以下の対策を推奨しています：

1. パッチの適用：これらの脆弱性に対処する最新のファームウェアバージョンに、影響を受けるSchneider Electric製品を更新してください。パッチの詳細については、Schneider Electricの公式セキュリティアドバイザリーを参照してください。
2. ネットワークのセグメンテーション：OTネットワークを企業のITネットワークから分離し、潜在的な攻撃への露出を制限します。
3. 脆弱性の監視：CODESYS Runtimeを標的とする不審な活動を監視するために、侵入検知/防止システム（IDS/IPS）を導入します。
4. ベンダーのガイダンスの確認：CODESYS Runtimeを使用している他のベンダーからの更新情報を確認し、これらの脆弱性がより広範なデバイスに影響を及ぼす可能性があるかを確認してください。

詳細な技術情報については、CSAFアドバイザリーを参照してください。