横河電機CENTUMの脆弱性から学ぶ産業制御システムのパスワード管理

「産業制御システムの脆弱性って、自社の工場にも影響があるの？」
「制御系のパスワード管理、どこから見直せばいいのか分からない…」

チップス

ボス！横河電機のCENTUMにパスワードがハードコードされてたって聞いたんでしゅけど、本当でしゅか！？

ボス

ああ、2026年3月30日にJVNで公開された脆弱性だ。制御システムのセキュリティに関わる、見過ごせない問題だな。

産業制御システムのセキュリティは、製造業やプラント運用に携わる方にとって避けて通れない課題です。
この記事では、横河電機CENTUMシリーズで発見されたハードコードパスワードの脆弱性を取り上げ、リスクと具体的な対策をお伝えします。

この記事を読むことで、産業制御システムにおけるパスワード管理の盲点を把握し、自社設備を守るための具体的なアクションが見えてきます。

横河電機CENTUMシリーズで見つかった脆弱性の概要

2026年3月30日、JVNがCENTUM VPシリーズの脆弱性情報を公開しました。

CVE-2025-7741の影響範囲と深刻度

今回公開されたCVE-2025-7741は、CENTUMシリーズの操作監視基本機能に含まれるPROGユーザーアカウントに、パスワードがハードコード（固定値で埋め込み）されていた問題です。
CWE-259（ハードコードされたパスワードの使用）に分類されます。

CVSS v4.0のスコアは2.1と低めに見えますが、攻撃者がこのパスワードを入手した場合、CENTUM認証モードの環境下で不正にログインされるリスクがあります。
影響を受ける製品とバージョンは以下の通りです。

脆弱性の悪用にはHIS（Human Interface Station）への直接アクセス、またはリモートからの侵入が前提となります。
ただし、制御系ネットワークのセグメンテーションが不十分な環境では、攻撃の足がかりとして利用される恐れがあります。

対策方法とパッチ適用の注意点

横河電機は、バージョンごとに異なる対策を案内しています。
確認しておきたいポイントは以下の通りです。

チップス

パッチがないバージョンもあるんでしゅか…。認証モードの変更って大変そうでしゅ。

ボス

確かに運用変更には手間がかかる。だが、制御系のセキュリティに「後でいい」は通用しないんだ。

認証モードの切り替えは計画停止を伴う場合もあるため、ベンダーや保守契約先と早めに相談してください。

ハードコードパスワードが産業制御システムにもたらすリスク

CENTUM以外の制御システムでも、同様の問題は繰り返し報告されています。

ハードコードパスワードが危険な理由

ハードコードパスワードとは、ソフトウェアのソースコードやファームウェアに固定値として書き込まれた認証情報です。
CWE-259として分類されるこの問題は、産業制御システムの脆弱性として長年指摘されてきました。

特に制御系で危険とされる理由を整理します。

産業制御システムは、稼働の安定性を重視するあまりソフトウェアのアップデートが後回しになりがちです。
その結果、ハードコードパスワードが長期間放置されやすい環境になっています。

企業が取るべき予防策

産業制御システムを運用する企業が、今すぐ着手できる対策をまとめました。

ボス

制御系は「閉じたネットワークだから安全」という思い込みが一番危険だ。境界の見直しは定期的にやるべきだな。

ネットワーク分離は完璧な防御ではありませんが、攻撃者のハードルを大きく引き上げます。
まずは自社環境の現状を正確に把握するところから始めてみてください。

まとめ

今回の横河電機CENTUMシリーズの脆弱性（CVE-2025-7741）は、CVSSスコアこそ低いものの、ハードコードパスワードという産業制御システムに根深い課題を改めて示した事例です。
R5・R6系にはパッチが提供されず、認証モードの変更という運用面の対応が求められます。

チップス

パスワードを付箋に貼るのもダメだけど、コードに埋め込むのもダメなんでしゅね…。反省でしゅ。

ボス

気づけたなら上出来だ。まずは自社の制御系システムが該当しないか、ベンダーに確認するところから始めるんだな。

制御系セキュリティの見直しや専門家への相談を検討されている方は、早めのアクションをおすすめします。