PowerSYSTEM Centerに脆弱性2件、修正版あり
PowerSYSTEM Centerに、低権限ユーザーが管理者用の資源に触れる脆弱性とSQLインジェクションの脆弱性が公表されました。制御系ネットワークで使う組織は、系統ごとの修正版に更新し、ログインできるアカウントも見直してください。
同じ発表の脆弱性 2 件
- CVE-2026-63017 重大 9.4
- CVE-2026-63774 重大 9.4
急ぎ度: 早めに
2件ともCVSS v3は9.0、v4は9.4と高く、修正版も出ているため、悪用の報告を待たずに更新へ進める段階です。
関係があるか
Subnet SolutionsのPowerSYSTEM Centerの2020・2024・2026の各系統を運用している組織が対象です。SQLインジェクションの影響を受けるのは2024と2026の系統で、2020は認可の不備だけが該当します。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| PowerSYSTEM Center 2020 | 5.29.x以前（認可の不備のみ） | Update 30 |
| PowerSYSTEM Center 2024 | 6.0.x〜6.2.x（認可の不備とSQLインジェクションの両方） | CVEの記録には、修正済みの版として「PowerSYSTEM Center 2026 Update 1.1」が挙がっています。2024系統向けの修正の入手方法は、ベンダーの告知で確認してください |
| PowerSYSTEM Center 2026 | 7.0.x〜7.1.x（認可の不備とSQLインジェクションの両方） | Update 1.1 |
確かめ方
- 1PowerSYSTEM Centerの管理画面などで、導入している系統（2020・2024・2026）と版を確認し、上の範囲に入るかを照らします。
- 2管理者以外のアカウントが何件あり、だれが使っているかを洗い出します。2件とも、ログインできるユーザーの存在が前提になるためです。
- 3レポートデザイナーを使っているか、使えるユーザーはだれかを確認します。
- 4PowerSYSTEM Centerのサーバーに、どのネットワークから届くかを構成図で確認します。
何が起きたか
PowerSYSTEM Centerで、ログインできるユーザーが本来の権限を超えて、管理者向けの資源やデータベースに手が届いてしまう脆弱性が2件公表されました。2件が重なると、制御系ネットワークの運用に使うシステムの中身を、低権限のアカウントから読み書きされるおそれがあります。
- CVE-2026-63017: 認可の確認が不十分で、低権限の認証済みユーザーが管理者に限られる資源にアクセスできる（CVSS v3は9.0、v4は9.4）
- CVE-2026-63774: レポートデザイナーの入力検証が不十分で、認証済みユーザーが不正なSQLコマンドを実行できる（CVSS v3は9.0、v4は9.4）
公表日は2026年11月6日で、CISAの勧告にまとめられています。弱点の種類は、前者がCWE-863、後者がCWE-89です。Digital Boundary GroupのChinmay Patel氏とSubnet Solutionsが報告しました。
攻撃の流れ
-
1
ネットワークに到達
PowerSYSTEM Centerに届くネットワーク上に、攻撃者が入り込みます。
-
2
低権限でログイン
一般ユーザー相当のアカウントでログインします。
-
3
権限の壁を越える
管理者限定の資源への到達、またはレポートデザイナー経由の不正なSQL実行に進みます。
-
4
データと運用に影響
情報の読み取り、書き換え、サービスの停止につながるおそれがあります。
どう悪用されるか
CVE-2026-63017は、低権限であってもログインできるアカウントが必要です。攻撃者は同じネットワークセグメントなど、隣接するネットワーク上にいる必要があり、利用者に何かをさせる操作は要りません。CVSSの評価では、影響が脆弱なコンポーネントの外にも及ぶとされ、機密性・完全性・可用性のすべてが高い影響と見積もられています。
CVE-2026-63774も、認証済みのユーザーが前提です。ネットワーク上の位置や必要な権限の細かい条件は、ベンダーの告知で確認してください。
成功した場合の被害として、CISAは不正なSQLコマンドの実行と、権限のない資源へのアクセスを挙げています。社内の低権限アカウントや、盗まれたアカウントが入口になる点に注意が必要です。
今すぐやること
-
1
導入している系統と版を特定する
2020・2024・2026のどの系統を使い、版がどこにあるかを、本番だけでなく検証環境や予備機も含めて洗い出します。
-
2
修正版に更新する
2020と2026の系統は、それぞれの修正版に更新します。2024の系統は、修正の入手方法をSubnet Solutionsの告知で確認し、修正版か移行先かを決めます。業務への影響を見て、停止できる時間帯を調整します。
-
3
低権限アカウントを棚卸しする
使っていないアカウント、共有されているアカウント、パスワードを長く変えていないアカウントを整理します。更新前の備えとしても有効です。
-
4
侵害の跡を調べる
更新の前後で、管理者向け機能へのアクセスや、レポートデザイナーの操作記録に、身に覚えのないものがないかを見ます。
すぐ更新できないとき
修正版を当てるまでの間は、CISAが示す一般的な対策でつなぎます。制御系のネットワークと装置はインターネットから届かないようにし、ファイアウォールの内側で業務ネットワークから分けます。リモートから使う場合はVPNなどの安全な方法にし、VPN自体も最新の版にします。あわせて、ログインできるアカウントを必要な人だけに絞ります。これらは2件の脆弱性そのものを直すものではありません。
背景
PowerSYSTEM CenterはカナダのSubnet Solutionsの製品で、CISAは重要製造業とエネルギー分野に関わる製品として勧告を出しています。制御系の運用に使われるため、管理画面やデータベースに低権限のアカウントで触れられること自体が、運用の安全に直結します。
今回の2件は、どちらもログイン後の権限の扱いに関わります。認可の不備は、管理者と一般ユーザーの境目が守られない問題です。SQLインジェクションは、入力の検証が甘いと、画面の機能を通じてデータベースに意図しない命令が届く問題です。ログインが前提の脆弱性は、外部から入られなければ安全だと見られがちですが、アカウントの管理が甘い環境では、入口がパスワードの使い回しや共有アカウントになりえます。
よくある質問
Q.インターネットに公開していなければ、影響は小さいですか。
Q.2020の系統は、SQLインジェクションを気にしなくてよいですか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| Subnet Solutions | PowerSYSTEM Center 2020 |
5.29.x 以前 |
— |
| Subnet Solutions | PowerSYSTEM Center 2024 |
6.0.x 〜 6.2.x |
— |
| Subnet Solutions | PowerSYSTEM Center 2026 |
7.0.x 〜 7.1.x |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Incorrect authorization in PowerSYSTEM Center allows a low-privileged, authenticated user to access resources normally limited to administrators.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web cisa.gov
- web github.com
- web nvd.nist.gov
- web github.com