三菱電機FAエンジニアリングソフトに複数脆弱性、CVE-2020-14521/14523でRCE・情報漏洩の恐れ

「工場で使っているエンジニアリングソフトが狙われたら、生産ラインが止まるんでしゅか？」
「CVE-2020で番号が古い脆弱性が、なぜ今アドバイザリが更新されたんでしゅか？」

チップス

ボス、三菱電機のFA製品でまた脆弱性アドバイザリが出たんでしゅよね？番号が2020年のものらしいでしゅけど、今さら何が問題なんでしゅか？

ボス

そうだな。GX Works3やRT ToolBox3などの主要なエンジニアリングソフトに影響する重要な脆弱性で、対象製品が追加される度に更新されている。古い番号でも対応が漏れている現場は珍しくないぞ。

2026年5月28日、JVNとJPCERT/CCが、三菱電機製FAエンジニアリングソフトの脆弱性アドバイザリJVNVU#90224831を更新公表しました。
本記事では、CVE-2020-14521とCVE-2020-14523の仕組み、影響範囲、そして製造業の現場で取るべき対策を整理していきます。

FAエンジニアリングソフトはPLCの設計・保守を担う中核ツールで、侵害されれば生産ラインの停止につながります。
事件の概要、脆弱性の仕組み、そして製造業が取るべき対策の順に深掘りしていきます。

事件の概要：50製品超に影響する脆弱性アドバイザリの更新

JVNVU#90224831は、影響製品の追加に合わせて継続的に更新されています。

対象製品と深刻度の整理

今回のアドバイザリは、CVE-2020-14521とCVE-2020-14523の2件をまとめて扱っています。
主な対象製品と影響内容を以下の表にまとめました。

チップス

製品数が多すぎて、自分の現場で使っているものが該当するか分からなくなりそうでしゅか？

ボス

三菱電機のFA製品セキュリティページで全リストが公開されているから、まず棚卸しから始めるのが王道だ。バージョンまで控えておけば後で楽になるぞ。

脆弱性の仕組みとOT環境への影響

2件の脆弱性はいずれも、エンジニアリングPCを足掛かりにPLCへ波及するリスクを孕みます。

攻撃シナリオと現場で起こり得ること

CVE-2020-14521は引用符で囲まれない検索パスを悪用し、攻撃者が用意した不正なファイルが優先実行される問題です。
CVE-2020-14523は細工されたプロジェクトファイルを開いた瞬間に実行ファイルや設定が書き換えられるパストラバーサル攻撃です。
現場で想定すべき具体的な被害は以下の通りです。

チップス

プロジェクトファイルを開いただけで攻撃が成立するのは、ちょっと怖いんでしゅけど…。

ボス

そうだな。だからこそファイル入手経路の信頼性確認と、エンジニアリングPCの隔離が決定打になる。USBや外部メールで持ち込まれたファイルは、原則疑ってかかるべきだ。

優先的に実施すべき対策

三菱電機の製品セキュリティページとJVNの公式情報をもとに、優先度の高い順で整備するのがおすすめです。
具体的なアクションは以下の通りです。

まとめ：OT現場のソフト管理を体系化する契機に

5年以上前に公表された脆弱性でも、影響製品の追加と現場の更新遅延により、いまだ実務的なリスクとして残っています。
製造業のOT環境では、ITと同じパッチ管理が難しい以上、ネットワーク分離と入口管理を組み合わせる多層防御が現実解です。

ボス

古いCVEだから安心、ではなく、自社環境への適用状況を棚卸しすることが第一歩だ。OTの脆弱性管理は気長な仕事だが、生産ライン全体を守るための投資だぞ。

チップス

FA製品の脆弱性って、ITの脆弱性と毛色が違うことが分かったでしゅ。まずは棚卸しから始めてみるでしゅ。