あなたのPLCは大丈夫？三菱電機GX Works2に見つかった「パスワード平文保存」脆弱性の5つの重要ポイント
➤解答解説
工場の生産ラインを制御するプログラマブルロジックコントローラ（PLC）。そのプロジェクトファイルは、まさに工場の「頭脳」とも言える重要なデジタル資産です。生産のノウハウが詰まったこの頭脳を守るため、多くのエンジニアはパスワードによる保護機能を信頼しています。しかし、もし、その保護機能であるパスワードが、誰でも読める形で保存されていたとしたらどうでしょうか？本記事では、三菱電機製のPLCエンジニアリングソフトウェア「GX Works2」に見つかった、まさにそのような脆弱性（CVE-2025-3784）の重要ポイントを5つに絞って解説します。
--------------------------------------------------------------------------------
1. 問題の核心：認証情報が「平文」で保存されている
この脆弱性の最も衝撃的な事実は、プロジェクトファイルを保護するための認証情報（パスワード）が、暗号化されずにそのまま「平文」でファイル内に保存されているという点です。
これは、セキュリティの専門分野では「CWE-312: Cleartext Storage of Sensitive Information（機密情報の平文保存）」として知られる、基本的な設計上の問題です。鍵のかかった箱の中に、鍵そのものを一緒に入れておくようなもので、本来の保護機能を無意味にしてしまいます。三菱電機が公開した情報でも、この問題は明確に指摘されています。
GX Works2 は認証情報を平文で保存しており、攻撃者は、平文で保存された認証情報をプロジェクトファイルから取得することができます。
--------------------------------------------------------------------------------
2. 影響範囲：すべてのバージョンが対象
この脆弱性は、特定のバージョンの一時的なバグではありません。「GX Works2の全てのバージョン」が影響を受けます。
これは、この問題が製品の初期設計から続く、根本的な仕様に起因する可能性が高いことを示唆しています。これは、特定のコーディングミスに起因する「バグ」とは異なり、製品のセキュリティ設計における根本的な見落としであった可能性を意味します。ユーザーにとっては、ソフトウェアをアップデートしたから安心、というわけにはいかず、GX Works2を使用している限り、このリスクを認識し続ける必要があることを意味します。
--------------------------------------------------------------------------------
3. 具体的な脅威：「保護された」プロジェクトファイルが丸裸に
この脆弱性がもたらす最大のリスクは、攻撃者がプロジェクトファイルを入手さえすれば、パスワード保護を容易に突破できてしまう点にあります。
攻撃者はファイル内から平文で保存された認証情報を読み取り、それを使って正規のユーザーになりすましてファイルを開くことが可能です。これにより、ユーザー認証を設定して保護しているはずのプロジェクトファイルが第三者に渡った場合、「情報を閲覧又は編集される可能性」が生まれます。
その結果、工場の生産ロジックや企業の機密情報が漏洩したり、最悪の場合、生産プロセスを妨害するよう悪意を持ってプログラムを改ざんされたりする危険性があります。
--------------------------------------------------------------------------------
4. 深刻度スコアの裏側：CVSS基本値「5.5」の意味
この脆弱性の深刻度を示す共通脆弱性評価システム（CVSS）の基本値は「5.5」で、「中程度（Medium）」に分類されています。
「パスワードが平文で保存されている」という深刻な内容にもかかわらず、スコアが最高レベルでないのはなぜでしょうか。その鍵は、攻撃成立の条件を示す「攻撃元区分（Attack Vector）」が「ローカル（AV:L）」に設定されている点にあります。
これは、攻撃者がこの脆弱性を悪用するためには、インターネット経由で直接攻撃するのではなく、対象のPCへの物理的なアクセスや、別の手口でリモートログインするなど、何らかの形でローカル環境に侵入する必要があることを意味します。この前提条件があるため、リモートから無差別に攻撃できる脆弱性と比較して、スコアが中程度に抑えられているのです。この「ローカル環境への侵入が前提」という点が、次に解説する対策を理解する上で極めて重要になります。
--------------------------------------------------------------------------------
5. 今すぐできる対策：公式パッチ提供前の「ワークアラウンド」
三菱電機によると、本脆弱性への対策を施したバージョンは「現在開発中」であり、すぐには利用できません。 そのため、公式パッチがリリースされるまでの間、ユーザーは以下の回避策・軽減策（ワークアラウンド）を講じることが強く推奨されています。
• PCを信頼できるネットワークに限定する GX Works2がインストールされたPCを信頼できるLAN内でのみ使用し、信頼できないネットワークからのリモートログインをブロックする。
• 安全な方法でのみインターネットに接続する やむを得ずインターネットに接続する場合は、ファイアウォールやVPNを使用して不正アクセスを防止する。
• 物理的なアクセスを厳格に管理する PC本体や関連するネットワーク機器への物理的なアクセスを厳しく制限する。
• プロジェクトファイルの送受信時は必ず暗号化する プロジェクトファイルをインターネット経由で送受信する際は、ファイルをZIP暗号化するなど、別途暗号化を施す。
• 基本的なウイルス対策を徹底する PCにウイルス対策ソフトを導入し、常に最新の状態に保つ。
これらの対策は、攻撃の前提条件である「ローカル環境へのアクセス」そのものを困難にし、脆弱性そのものを修正するものではありません。しかし、攻撃者がPCに侵入したり、プロジェクトファイルを入手したりするのを困難にすることで、脆弱性を悪用されるリスクを大幅に低減させる「多層防御」の考え方に基づいた重要なステップです。
--------------------------------------------------------------------------------
結論
今回明らかになったGX Works2の脆弱性は、どれだけ高度なシステムであっても、パスワードの保存方法といった基本的なセキュリティ対策がいかに重要であるかを改めて示す事例となりました。対策パッチの提供を待つと同時に、これを機に自社のセキュリティ体制全体を見直すことが求められます。
あなたの最も重要なデジタル資産は、本当に信頼できる鍵で守られていますか？
