CISA ostrzega użytkowników GENESIS i ICONICS. Wersja 10.97.3 nie usuwa wszystkich luk

CISA opublikowała 27 października 2026 r. ostrzeżenie ICSA-26-300-02 dotyczące produktów Mitsubishi Electric i ICONICS. Publikację potwierdza zestawienie JVN. Sam producent opisał luki już 15 października. Ważna jest właściwa ścieżka aktualizacji: ICONICS Suite 10.97.3 nie usuwa wszystkich wymienionych problemów.

Jakie produkty wymieniono

Ostrzeżenie obejmuje GENESIS, GENESIS64, ICONICS Suite, Hyper Historian, AnalytiX, MobileHMI, IoTWorX, MC Works64, GENESIS32 i BizViz. Zakres podatności zależy od produktu i wersji.

CVE-2023-4863 dotyczy składnika libwebp w GENESIS64 i ICONICS Suite w wersjach od 10.97 do 10.97.2. Może umożliwić wykonanie kodu podczas przetwarzania przygotowanego pliku. Producent wskazuje tu warunki obejmujące lokalne zalogowanie i uprawnienia administratora produktu.

CVE-2026-16436 i CVE-2026-16437 dotyczą mechanizmu odzyskiwania dostępu. Pierwsza może umożliwić zdalne odblokowanie systemu osobie znającej wspólną, stałą odpowiedź mechanizmu zabezpieczającego. Druga wymaga lokalnego dostępu z uprawnieniami administratora i modyfikacji pliku przechowującego tę odpowiedź.

CVE-2026-16438 dotyczy nieprawidłowo przyznanych uprawnień DCOM. Może pozwolić użytkownikowi konta administratora produktu na operacje wymagające podwyższenia uprawnień. Skutki wykorzystania luk mogą obejmować ujawnienie, zmianę lub usunięcie danych oraz zatrzymanie systemu.

Co zrobić teraz

Według komunikatu producenta należy dobrać aktualizację do konkretnej luki i produktu:

• Dla CVE-2023-4863 w GENESIS64 i ICONICS Suite poprawkę zawiera ICONICS Suite 10.97.3 lub nowszy.
• Dla CVE-2026-16436, CVE-2026-16437 i CVE-2026-16438 w GENESIS64, ICONICS Suite, Hyper Historian, AnalytiX i MobileHMI producent wskazuje ICONICS Suite 10.98 lub nowszy.
• Dla CVE-2026-16436 i CVE-2026-16437 w IoTWorX wskazano wersję 10.98 lub nowszą, a w GENESIS — 11.04 lub nowszą.
• Dla MC Works64, GENESIS32 i BizViz producent nie planuje wydań naprawczych. Zaleca ograniczenie ryzyka zgodnie z komunikatem oraz rozważenie migracji.

Przed wdrożeniem trzeba sprawdzić pełne oznaczenia wersji i zgodność z instalacją przemysłową. Do czasu aktualizacji należy ograniczyć dostęp z niezaufanych sieci, logowanie zdalne i fizyczny dostęp do stanowisk. Dodatkowe czynności dotyczące mechanizmu odzyskiwania dostępu opisuje komunikat producenta.

Komentarz SecurHUB

W środowisku przemysłowym ocena luki wymaga znajomości połączeń między oprogramowaniem a procesem technologicznym. Audyty cyberbezpieczeństwa pomagają ustalić dostępność systemów dla potencjalnego napastnika i kolejność działań uzgodnioną z ich właścicielami.

Źródła: Mitsubishi Electric — komunikat producenta, JVN — zestawienie ostrzeżeń CISA