## ABB EIBPORTの脆弱性、ファームウェアアップデートで対応 **ABB**は、同社のEIBPORTビル管理システムにおける脆弱性に関するセキュリティアドバイザリを発行しました。これらの脆弱性が悪用された場合、不正な機密データへのアクセスや、デバイス設定の変更が可能になる可能性があります。 [CSAFを表示](https://github.com/cisagov/CSAF/blob/develop/csaf_files/OT/white/2026/icsa-26-148-03.json) ### 対象製品 ABB EIBPORTの以下のバージョンが影響を受けます。 * EIBPORT V3 KNX (2CLA963710W1001) < 3.9.2 * EIBPORT V3 KNX (2CSM256242R2001) < 3.9.2 * EIBPORT V3 KNX GSM (2CLA963720W1001) < 3.9.2 ### 脆弱性の詳細 特定された主な脆弱性は、Webページ生成時の不適切な入力の無効化（クロスサイトスクリプティング）です。 | CVSS | ベンダー | 機器 | 脆弱性 | | :----- | :----- | :--------- | :--------------------------------------------------------------------- | | v3 8 | ABB | ABB EIBPORT | Webページ生成時の不適切な入力の無効化（クロスサイトスクリプティング） | ### 背景 * **重要インフラセクター:** 重要製造業、情報技術 * **展開国/地域:** 世界中 * **本社所在地:** スイス ### 緩和策 ABBは、標準的なセキュリティプラクティスの実施を推奨しています。これには以下が含まれます。 * プロセス制御システムを不正アクセスから物理的に保護する。 * インターネットへの直接接続を避ける。 * ファイアウォールを使用して、ポートの公開を最小限に抑え、制御システムを他のネットワークから分離する。 * 制御システムでのインターネットサーフィン、インスタントメッセージング、または電子メールの使用を避ける。 * 制御システムに接続する前に、ポータブルコンピュータおよびリムーバブルストレージメディアをウイルススキャンする。 ### 修正策 影響を受けるEIBPORTデバイスに最新のファームウェアアップデート（バージョン3.9.2以降）を適用してください。このアップデートは、セッション管理の改善と製品設定の強化により、脆弱性に対処します。 ### 謝辞 この脆弱性は**Psytester**によってABBに報告されました。 ### CISAの推奨事項 **サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）**は、これらの脆弱性の悪用リスクを最小限に抑えるための防御策を講じることをユーザーに推奨しています。 * すべての制御システムデバイスおよび/またはシステムのネットワーク公開を最小限に抑え、インターネットからアクセスできないようにする。 * 制御システムネットワークとリモートデバイスをファイアウォールの背後に配置し、ビジネスネットワークから分離する。 * リモートアクセスが必要な場合は、Virtual Private Network（VPN）などのより安全な方法を使用する。ただし、VPN自体にも脆弱性が存在する可能性があるため、利用可能な最新バージョンに更新する必要があることに留意する。また、VPNは接続されているデバイスと同等のセキュリティしか提供しないことにも留意する。 CISAは、組織に対し、防御策を展開する前に適切な影響分析とリスク評価を実施することを改めて推奨しています。