CISAが9件のICS脆弱性アドバイザリを一斉公表、PUSR USR-W610はCVSS 9.8でEOL未対応

「うちの工場のシステムも危ないんでしゅか？」
「9件もまとめて警告って、何が起きてるんでしゅか？」

チップス

ボス、CISAから一気に9件もICSの警告が出たって聞いたんでしゅけど…うちの工場、大丈夫でしゅか？

ボス

ふふふ、よく気づいたな。今回はパッチが出ない製品まで含まれている。腰を据えて状況を整理していこう。

2026年5月28日、米CISAが産業制御システム（ICS）向けに9件の新規セキュリティアドバイザリを一斉公開しました。
JPCERT/CCも翌29日に日本語で周知しており、国内のOT環境を持つ製造業・インフラ事業者にとって見過ごせない内容となっています。
本記事では、注目すべき脆弱性とそのリスク、現場で取るべき優先対応を整理します。

読み進めると、それぞれの脆弱性のリスクと、自社のOT資産を守るための具体的な優先順位が見えてきます。

CISAが9件まとめて公表した今回の事案

まずは何が公表されたのか、全体像から確認していきましょう。

JPCERT/CCが翻訳周知した9件の中身

CISAは2026年5月28日に、9件の新規アドバイザリと2件の更新を発出しました。
JPCERT/CCはこれを受けて翌29日にJVNVU#92172885として日本語で公開しています。
対象となる主な製品は以下の通りです。

チップス

えっ、PUSRのやつ、CVSS9.8って数字も怖いんでしゅけど、パッチが出ないってどういうことでしゅか？

ボス

製品が販売終了（EOL）扱いだからな。ベンダーが「もう直さない」と決めた以上、利用者側で物理的に切り離す覚悟が要る。

PUSR USR-W610の致命的なリスク

USR-W610はRS232/485を無線LANに変換する産業用ゲートウェイで、工場や設備の制御信号を担う機器です。
今回判明したCVE-2026-7786では、ファームウェアに管理者認証情報がハードコードされており、ファームウェアを解析すれば誰でもログインできてしまいます。
CVSSは9.8と最大級で、リモートからの完全乗っ取りが現実的な脅威となります。

日本企業のOT環境に潜む影響

では国内事業者として、何から手を打てばよいのでしょうか。

パッチで終わらないEOL機器の難しさ

EOLの製品は、ベンダーがセキュリティ修正を提供しません。
PUSR USR-W610のように業務に組み込まれた中継機器が対象になると、即時の入れ替えは現実的でなく、代替策で時間を稼ぐしかなくなります。
優先すべき対応のポイントは以下の通りです。

XSS・認証不備への現場対応

CP Plus NVRの保存型XSSは、管理画面に細工したスクリプトを保存することで、別の運用者がアクセスした瞬間に攻撃が成立します。
監視カメラのレコーダーが侵害されると、映像の改ざんや侵入の痕跡消去にもつながるため、早期のファームウェア適用が欠かせません。
Schneider Electric EcoStruxureも含め、対応の流れは以下のように整理できます。

チップス

パッチが出ない機器を抱えてる工場って、ほんと辛いんでしゅね…。

ボス

そうだな。だからこそ、調達段階でEOLポリシーまで含めた評価が要るんだ。

まとめ

CISAが2026年5月28日にまとめて公表したICS脆弱性は、日本企業のOT環境にも直結する内容でした。
とくにPUSR USR-W610のようなEOL機器は、パッチで救えない以上、ネットワーク分離と置換計画の両輪で備える必要があります。
JPCERT/CCの日本語アドバイザリを起点に、自社の資産マッピングと対応優先順位を見直しましょう。

OTセキュリティの専門人材が不足している現場では、外部のセキュリティフリーランスの活用が有効な選択肢になります。
ぜひ JVNVU#92172885 も併せて参照し、最新の情報を取得してください。