## Siemens RUGGEDCOM デバイスに深刻なバッファオーバーフローの影響 Siemens RUGGEDCOM APE1808 デバイスに影響を与える深刻な脆弱性が公表されました。この脆弱性、CVE-2026-0300 は、Palo Alto Networks の PAN-OS ソフトウェアの User-ID™ 認証ポータル（別名 Captive Portal）サービスにおけるバッファオーバーフローに起因します。 [CSAF を表示](https://github.com/cisagov/CSAF/blob/develop/csaf_files/OT/white/2026/icsa-26-139-02.json) ## 脆弱性の詳細 この脆弱性により、認証されていない攻撃者は、特別に細工されたパケットを影響を受けたサービスに送信することで、PA-Series および VM-Series ファイアウォール上でリモートから root 権限で任意のコードを実行できます。 ### 影響を受ける製品 * Siemens RUGGEDCOM APE1808 デバイス（全バージョン） ### CVSS スコア この脆弱性の CVSS v3 スコアは 10 であり、深刻度がクリティカルであることを示しています。 | CVSS | Vendor | Equipment | Vulnerabilities | | :--- | :------- | :----------------------------- | :--------------------- | | v3 10 | Siemens | Siemens RUGGEDCOM APE1808 Devices | Out-of-bounds Write | ### 背景 * **重要インフラストラクチャセクター:** クリティカル製造 * **展開されている国/地域:** 世界中 * **本社所在地:** ドイツ ## 技術分析: CVE-2026-0300 CVE-2026-0300 は、Palo Alto Networks の PAN-OS ソフトウェアの User-ID™ 認証ポータルサービスに存在する、境界外書き込みの脆弱性（CWE-787）です。この脆弱性を悪用することに成功すると、root 権限で任意のコードを実行できるため、システム全体が侵害される可能性があります。 [CVE 詳細を表示](https://www.cve.org/CVERecord?id=CVE-2026-0300) ## 修正と緩和策 Siemens は、影響を受ける RUGGEDCOM APE1808 デバイス向けの修正バージョンの開発に積極的に取り組んでいます。それまでの間、Palo Alto Networks のアップストリームセキュリティ通知で提供されている回避策を実装することを強く推奨します。具体的な緩和策については、Palo Alto Networks のセキュリティアドバイザリを参照してください。 ## 一般的なセキュリティ推奨事項 Siemens は、デバイスを保護するための堅牢なネットワークセキュリティ対策の重要性を強調しています。以下の点を推奨しています。 * デバイスへのネットワークアクセスを制御するための適切なメカニズムを実装する。 * Siemens の産業セキュリティ運用ガイドラインに従って IT 環境を構成する。 * 製品マニュアルに記載されている推奨事項に従う。 Siemens による産業セキュリティに関する追加情報は、以下で確認できます: [https://www.siemens.com/industrialsecurity](https://www.siemens.com/industrialsecurity) ## CISA の推奨事項 サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、以下の防御策を推奨しています。 * すべての制御システムデバイスおよび/またはシステムのネットワーク露出を最小限に抑え、インターネットからアクセスできないようにする。 * 制御システムネットワークとリモートデバイスをファイアウォールの背後に配置し、ビジネスネットワークから隔離する。 * リモートアクセスが必要な場合は、Virtual Private Network（VPN）などのより安全な方法を使用する。ただし、VPN にも脆弱性が存在する可能性があるため、利用可能な最新バージョンに更新する必要があることに留意する。また、VPN は接続されているデバイスと同等のセキュリティしか提供しないことにも留意する。 疑わしい悪意のあるアクティビティを観測した組織は、確立された社内手順に従い、発見事項を CISA に報告する必要があります。 ## 追加リソース * Siemens ProductCERT: [https://www.siemens.com/cert/advisories](https://www.siemens.com/cert/advisories) * Siemens 産業セキュリティ運用ガイドライン: [https://www.siemens.com/cert/operational-guidelines-industrial-security](https://www.siemens.com/cert/operational-guidelines-industrial-security)