# 日立エナジー RTU500 デバイスに複数の重大な脆弱性が発覚 **日立エナジー**は、世界中の重要インフラに展開されている重要なコンポーネントである**RTU500**シリーズCMUファームウェアに影響を与える一連の脆弱性に関するアドバイザリを発行しました。これらの脆弱性の悪用は、主にサービス拒否（DoS）を通じて、深刻な運用上の混乱を引き起こす可能性があり、データ機密性および完全性への二次的な影響も考えられます。 [CSAFアドバイザリを表示](https://github.com/cisagov/CSAF/blob/develop/csaf_files/OT/white/2026/icsa-26-155-04.json) ## 対象製品と重要インフラへの影響 これらの脆弱性は、**日立エナジー RTU500シリーズ CMUファームウェア**の様々なファームウェアバージョンに影響します。具体的には以下の通りです。 * バージョン 12.7.1 – 12.7.7 * バージョン 13.5.1 – 13.5.4 * バージョン 13.6.1 – 13.6.3 * バージョン 13.7.1 – 13.7.8 * バージョン 13.8.1 これらの**RTU500**デバイスは、世界中のダム、エネルギー、上下水道システムなどの重要インフラセクターで広く展開されています。このような環境での混乱の可能性は、これらのセキュリティ上の懸念に対処することの緊急性を強調しています。 ## 脆弱性の詳細 開示された脆弱性は複数の種類にまたがり、CVSS v3スコアは7.8と高く、重大なリスクを示しています。これらには、NULLポインタ参照、整数オーバーフロー、無限ループが含まれます。 ### CVE-2025-69421: PKCS#12処理におけるNULLポインタ参照 この脆弱性は、[CWE-476 NULL Pointer Dereference](https://cwe.mitre.org/data/definitions/476.html)として分類されており、不正な**PKCS#12**ファイルを処理する際に発生します。`PKCS12_item_decrypt_d2i_ex()`関数がNULLポインタのチェックに失敗し、クラッシュとサービス拒否（DoS）を引き起こします。この影響はDoSに限定され、コード実行やメモリ開示にエスカレーションされることはありません。特権ユーザーがWebインターフェース経由で不正な**PKCS#12**証明書をアップロードした場合、またはPKIクライアント機能が構成されている場合に影響を受けます。 [CVE詳細を表示](https://www.cve.org/CVERecord?id=CVE-2025-69421) ### CVE-2026-24515、CVE-2026-32776、およびCVE-2026-32778: libexpatにおける複数のNULLポインタ参照 **RTU500**デバイスで**IEC 61850**機能が構成されている場合に使用される**libexpat** XML解析ライブラリで、NULLポインタ参照に関連する複数の脆弱性が特定されています。 * **CVE-2026-24515** ([CWE-476](https://cwe.mitre.org/data/definitions/476.html)): 未知のエンコーディングハンドラユーザーデータをコピーしないことが原因で`XML_ExternalEntityParserCreate`で発生し、DoSを引き起こします。 * **CVE-2026-32776** ([CWE-476](https://cwe.mitre.org/data/definitions/476.html)): 空の外部パラメータエンティティコンテンツでのNULLポインタ参照を許可し、DoSを引き起こします。 * **CVE-2026-32778** ([CWE-476](https://cwe.mitre.org/data/definitions/476.html)): メモリ不足の状態でのリトライ時に`setContext`関数でNULLポインタ参照が発生する可能性があり、DoSにつながります。 [CVE-2026-24515 詳細を表示](https://www.cve.org/CVERecord?id=CVE-2026-24515) [CVE-2026-32776 詳細を表示](https://www.cve.org/CVERecord?id=CVE-2026-32776) [CVE-2026-32778 詳細を表示](https://www.cve.org/CVERecord?id=CVE-2026-32778) ### CVE-2026-25210: libexpatにおける整数オーバーフロー **IEC 61850**機能が構成されている場合に**libexpat**に影響するもう一つの脆弱性である**CVE-2026-25210** ([CWE-190 Integer Overflow or Wraparound](https://cwe.mitre.org/data/definitions/190.html))は、タグバッファ再割り当てに対する整数オーバーフローチェックの欠如により、`doContent`関数がバッファサイズを適切に決定できないことに起因します。これは主にサービス拒否を引き起こし、機密性および完全性にも影響を与える可能性があります。 [CVE詳細を表示](https://www.cve.org/CVERecord?id=CVE-2026-25210) ### CVE-2026-32777: libexpat DTD解析における無限ループ もう一つの**libexpat**の脆弱性である**CVE-2026-32777** ([CWE-835 Loop with Unreachable Exit Condition ('Infinite Loop')](https://cwe.mitre.org/data/definitions/835.html))は、DTDコンテンツの解析中に無限ループを引き起こす可能性があります。これもまた、サービス拒否につながり、**IEC 61850**機能が構成されている製品に影響します。 [CVE詳細を表示](https://www.cve.org/CVERecord?id=CVE-2026-32777) ### CVE-2026-8479: IEC 60870-5-104におけるNULLポインタ参照 **CVE-2026-8479** ([CWE-476 NULL Pointer Dereference](https://cwe.mitre.org/data/definitions/476.html))は、双方向モードで使用される**IEC 60870-5-104**プロトコルに影響します。特別に細工されたメッセージシーケンスは、NULLポインタ参照を引き起こし、サービス拒否を引き起こす可能性があります。これは、双方向モード（BCI）で**IEC 60870-5-104**機能が構成されている製品にとって懸念事項です。 [CVE詳細を表示](https://www.cve.org/CVERecord?id=CVE-2026-8479) ## 運用担当者への推奨事項 **日立エナジー**は、影響を受けるすべてのユーザーに対し、緩和策および是正措置に関する情報については、同社の「推奨される即時対応」を参照するようアドバイスしています。影響を受けるシステムのクリティカルな性質を考慮すると、これらのアドバイザリに直ちに注意を払うことが最優先事項です。**RTU500**の展開を管理するITセキュリティ専門家は、構成を確認し、パッチが利用可能な場合はファームウェアを更新し、ネットワークセグメンテーションと厳格なアクセス制御を実装して、潜在的なエクスプロイトへの露出を最小限に抑える必要があります。