## Yokogawa CENTUM VPに影響するハードコードされたパスワードの脆弱性 YokogawaのCENTUM VP分散制御システム（DCS）に、不正アクセスや権限昇格の可能性を秘めた重大な脆弱性が特定されました。この脆弱性は、CENTUM認証モードで使用される「PROG」ユーザーアカウントのハードコードされたパスワードに起因するもので、CVE-2025-7741として追跡されています。このアドバイザリはCISAによって公開されました。 [CSAFを表示](https://github.com/cisagov/CSAF/blob/develop/csaf_files/OT/white/2026/icsa-26-092-02.json) ### 脆弱性の詳細 **CVE-2025-7741**: ハードコードされたパスワードの使用 * **説明:** 影響を受ける製品には、システム内のCENTUM認証モードで使用されるユーザーアカウント（PROG）のハードコードされたパスワードが含まれています。 * **影響:** 攻撃者はPROGユーザーとしてログインし、PROGユーザーの権限がデフォルトのS1権限から変更されている場合、操作や設定変更を実行できる可能性があります。 * **影響を受ける製品:** * Yokogawa CENTUM VP: >=R5.01.00 および <R5.04.20 * Yokogawa CENTUM VP: >=R6.01.00 および <R6.12.00 * Yokogawa CENTUM VP: vR7.01.00 ### リスク軽減策 PROGユーザーのデフォルト権限はS1（OFFUSERに相当）ですが、組織はPROGユーザーの権限を見直し、制限することを強く推奨します。CISAは、悪用のリスクを軽減するために、以下の防御策の実装を推奨しています： * すべての制御システムデバイスおよびシステムのネットワーク公開を最小限に抑え、インターネットからアクセスできないようにします。 * 制御システムネットワークとリモートデバイスをファイアウォールで保護し、ビジネスネットワークから分離します。 * リモートアクセスが必要な場合は、Virtual Private Networks（VPN）などのセキュアな方法を使用し、利用可能な最新バージョンに更新されていることを確認します。また、VPNは接続されているデバイスと同等のセキュリティしか提供しないことを認識してください。 * 防御策を展開する前に、適切な影響分析とリスク評価を実施します。 ### 影響を受けるセクター この脆弱性は、以下の重要インフラストラクチャセクターの組織にリスクをもたらします： * 重要製造業 * エネルギー * 食品・農業 ### 謝辞 Yokogawaはこの脆弱性をCISAに報告しました。 ### 追加リソース CISAは、[ICSウェブページ](https://www.cisa.gov/ics)で制御システムセキュリティに関する追加のガイダンスと推奨プラクティスを提供しています。 疑わしい悪意のあるアクティビティを観測した組織は、確立された社内手順に従い、発見事項をCISAに報告してください。