アクセスゲートウェイの脆弱性と操業の依存関係、OT機器の把握

生産工程を支える周辺システムは、工程の中核を担うコントローラーと同じくらい重要な場合があります。

2026年10月初め、航空気象サービスを支える工場設備などを監視・制御する技術であるOTシステムでマルウェアが確認されました。同時期にはアクセスゲートウェイの脆弱性が実際に悪用され、企業に緊急対応が求められました。また、物理的な入退室管理プラットフォームでは、組み込み部品に由来する重大なリスクが明らかになりました。米国政府の調査では、インターネットにつながるIoT機器やOT機器の台帳に引き続き不足があることも示されました。

こうした動向は、操業に必要なシステムや機器、外部との接続を、組織として把握し管理できているかを問い直すものです。

この記事の要点

• 航空気象サービスを支えるOTに、ランサムウェアと関連するマルウェアが侵入しました。原因、影響範囲、操業への影響は調査中です。
• アクセスゲートウェイの脆弱性が実際に悪用され、緊急の更新、侵害の有無の調査、証拠保全が必要になりました。
• 数日後には別の脆弱性も明らかになりました。認証情報をシステム間で連携する規格であるSAMLについて、一部の設定を使用する機器は、標的を絞ったサービス妨害攻撃を受ける可能性があります。
• 入退室管理プラットフォームに組み込まれたソフトウェア部品が重大なリスクをもたらし、製品を構成する部品を把握する重要性が示されました。
• 米国政府の調査では、多くの機関で、ネットワークにつながるIoT・OT機器を漏れなく記録し、継続して更新する台帳が整っていませんでした。

操業を支える周辺のOTシステムが重要な理由

南アフリカの航空管制サービス提供者が、航空交通サービスに必要な気象情報を支えるOTで、不審な活動を検知しました。初期分析では、ランサムウェア攻撃の初期段階と関連することが多いマルウェアが見つかりました。

内部の担当チームが不審な活動を封じ込め、マルウェアを除去したとされています。原因、影響を受けたシステム、データ喪失の可能性、業務への影響、残るリスクを調べるため、デジタル上の証拠を分析する、独立したフォレンジック調査の委託が進められています。

公開資料からは事故の発生日を確定できません。監視でデータ持ち出しの可能性が示されましたが、独立した確認はされていません。攻撃者の特定、航空便の運航への影響、中核の航空管制システムの侵害も確認されていません。

操業上のリスクは物理的な工程を直接制御する機器だけにあるわけではありません。気象データやエンジニアリング用システム、認証基盤、通信、クラウドも、安全性や可用性、復旧に影響し得ます。可用性とは、必要なときにシステムを利用できることです。事故の前に依存関係を把握し、データやサービスの可用性を信頼できなくなった場合の対応を決めておく必要があります。

原文の出典はフォレンジック調査の公開調達資料、関連報道です。

アクセスゲートウェイは更新するだけで十分か

広く使われているアクセスゲートウェイの2つの重大な脆弱性が、通常の対処を終える前に世界各地で悪用されました。いずれの脆弱性も単独で、認証を受けずに遠隔からコードを実行できるものでした。

米国のサイバーセキュリティ・インフラストラクチャセキュリティ庁であるCISAは、侵害が疑われる組織に対し、更新する前にフォレンジック調査に必要な証拠を保全するよう助言しました。更新によって、攻撃者がすでに侵入していたかを判断するための情報が変化したり、失われたりする場合があるためです。

その後、別の脆弱性も明らかになりました。SAMLのサービスプロバイダーまたは認証情報を提供するIDプロバイダーとして設定された一部のゲートウェイに影響し、サービス妨害を引き起こす可能性があります。提供元は標的型の攻撃を報告し、追加の修正版を公開しました。

後から公表された脆弱性で確認されている影響は、可用性の喪失です。コード実行の可能性に関する報告は調査中で、提供元による確認はされていません。

アクセスゲートウェイは、セキュリティ対策であると同時に、操業が依存する機器でもあります。実際に悪用された脆弱性への対応には、ソフトウェアのバージョン変更に加えて、次の作業が必要です。

• 影響を受けるすべての設置先と設定を特定する。
• ログ、設定、その他の証拠を保全する。
• すでに侵害されていないか、痕跡を調べる。
• 提供元がサポートする更新を適用する。
• 認証、アクセス、障害時の切替、復旧の機能を検証する。
• ゲートウェイを分離したままにする場合、遠隔での業務をどう継続するか確認する。

原文の出典はCISAの悪用に関する警告、英国NCSCの対処指針、提供元の最初のセキュリティ情報、追加のセキュリティ情報です。

組み込み部品の脆弱性が装置メーカーに意味すること

CISAは10月1日、物理的な入退室管理、電気自動車の充電、変電所のエンジニアリング、ビル制御、IoTクラウドサービスに関する6件の産業向け注意喚起を公開しました。

最も深刻なものは、脆弱なメッセージング部品を組み込んだ入退室管理プラットフォームに関する注意喚起です。CVE-2023-46604によって、認証されていない攻撃者が、基本ソフトウェアであるOSの最上位権限でコードを実行できる可能性があります。ほかにも、埋め込まれた認証情報、固定された暗号関連の情報、ログ内の機密情報といった弱点が挙げられています。

悪用に成功すると、データベースへのアクセス、ホストの侵害、入退室管理システムへの影響につながる可能性があります。CISAは、このプラットフォームを狙った既知の悪用は報告していません。ただし、CVE-2023-46604は別の環境で悪用されています。

運用者から見えにくい部品のセキュリティリスクが、その部品を組み込んだ製品にも及ぶ場合があります。このことは、機器管理、脆弱性の評価、顧客への連絡、更新計画を難しくします。

装置メーカーにとっては、製品ライフサイクルの課題でもあります。EUサイバーレジリエンス法（Cyber Resilience Act：CRA）では、デジタル要素を含む製品のセキュリティに影響する、現に悪用されている脆弱性と重大なインシデントについて、報告義務の適用が始まっています。部品の情報を、設計・開発、製品セキュリティ、保守、法務確認、顧客への連絡につなげる手順が必要です。

出典はCISAの産業向け注意喚起の発表、CISAの技術情報、欧州委員会のCRA報告義務解説です。

OT機器の台帳に不足が残る理由

米国会計検査院（GAO）の調査では、22の文民機関のうち7機関が、2024年9月を期限とするネットワーク接続機器の初期台帳を整備していませんでした。

台帳を作成していた15機関のうち、4機関は更新を継続しておらず、5機関では必要な情報がすべて含まれていませんでした。機関側は、技術的な制約、人員・予算の不足、ほかの優先課題、IT・IoT・OT機器を区別する難しさを理由として挙げています。

GAOは、ネットワークに接続するIoT・OT機器の台帳要件について、指針を更新し、監督を強化するよう勧告しました。

機器を管理する台帳は、判断に使えてこそ役立ちます。脆弱性や事故が見つかったとき、責任者は次の点を把握する必要があります。

• 影響を受ける機器とバージョンは何か。
• どこに設置されているか。
• 誰が管理責任を持つか。
• どのベンダーが接続できるか。
• どの業務・工程が依存しているか。
• アクセスをどう制限し、取り消せるか。
• 調査に使える証拠は何か。

機器名を並べただけで、責任者、接続、アクセスの情報がない台帳では、これらの問いに答えられません。

出典は米国会計検査院の報告書です。

外部からの遠隔アクセスと操業の継続・復旧

外部からの遠隔アクセスは、保守、トラブル対応、復旧に欠かせません。リスクが生じるのは、作業に必要な範囲より権限が広い、必要な期間を超えて接続できる、接続の状況が見えにくいといった場合です。

操業の継続・復旧を支えるには、利用者を個人ごとに識別し、その利用者、承認された接続目的、接続先の産業用機器を対応付ける必要があります。接続を速やかに取り消せることや、接続中の活動を示す監査ログを残せることも大切です。

OT向けエッジゲートウェイは、保護する機器に近い場所でアクセスを制御できます。トンネルプロキシとセキュアリモートアクセス用クライアントは、生産ネットワーク全体を外部へ公開せずに、管理された接続を支えます。認証基盤との連携や細かな権限設定、承認の手順も、接続管理を補います。

こうした構成の基本にあるのがゼロトラストの原則です。専門家が必要な機器へ接続でき、現場では接続する人、目的、接続時間の長さを管理できるようにすることが、業務上の目的です。

OTの責任者が確認すること

• 安全な生産に必要な周辺システム、データの供給元、外部サービスを把握する。
• アクセスゲートウェイの責任者、バージョン、保全した証拠、試験済みの継続計画を確認する。
• 機器台帳とベンダーのアクセス記録を別々に扱わず、関連付けて管理する。
• ネットワーク接続製品の組み込み部品を確認し、新たな脆弱性の評価と連絡の方法を定める。
• 承認済みの復旧・支援作業を妨げずに、外部アクセスを速やかに取り消せるかを試験する。

よくある質問

操業を支える周辺のOTシステムとは何ですか？

物理的な工程の運転や復旧に必要な、データ、認証、通信、エンジニアリング、監視などのサービスを提供するシステムです。機器を直接制御していなくても、操業に影響する場合があります。

更新する前に証拠を保全するのはなぜですか？

更新によって、修正前に脆弱性が悪用されていたかを判断するためのログ、ファイル、プロセスなどの情報が変わる可能性があるためです。証拠保全は、操業とインシデント対応の要件を調整しながら進めます。

OT機器の台帳には何を記録すべきですか？

少なくとも、機器、設置場所、責任者、バージョン、操業上の役割、ネットワーク接続、外部アクセス経路、サポートの状態、関連する依存関係を記録します。環境の変化に合わせて更新することも必要です。

外部からの遠隔アクセスは操業の継続・復旧をどう支えますか？

承認された専門家が、現地訪問を待たずに産業用機器の診断や復旧を行えます。接続先を機器単位で限定し、接続を監査し、速やかに取り消せるようにすることが重要です。その接続をOTに適した構成で提供することも重要です。

セキュアリモートアクセスでOT事故を防げますか？

一つの対策ですべての事故を防ぐことはできません。管理された遠隔アクセスは、外部接続が必要な場合の露出を減らし、責任の明確化、調査、復旧を支えます。

原文はSecomea OT Security Weekly #008（2026年10月5日）。本記事は原文の日本語訳です。事例と未確認事項は原文時点の情報に基づきます。