Η Mitsubishi Electric δεν σχεδιάζει να κυκλοφορήσει διόρθωση για τα MC Works64, GENESIS32 και BizViz και προτείνει στους χρήστες είτε να εφαρμόσουν μέτρα μετριασμού του κινδύνου είτε να τα αντικαταστήσουν με τα GENESIS64 ή GENESIS. Η πληροφορία περιλαμβάνεται στο συμβουλευτικό δελτίο ICSA-26-300-02 της CISA, της αμερικανικής Υπηρεσίας Κυβερνοασφάλειας και Ασφάλειας Υποδομών, το οποίο η υπηρεσία αναδημοσίευσε την Τρίτη 27 Οκτωβρίου 2026.
Η CISA αναδημοσίευσε αυτούσιο το δελτίο 2026-006 της Mitsubishi Electric, που η εταιρεία είχε εκδώσει στις 15 Οκτωβρίου. Αφορά τέσσερις ευπάθειες με αναγνωριστικά CVE (Common Vulnerabilities and Exposures, ο διεθνής κατάλογος γνωστών ευπαθειών), δηλαδή σφάλματα ασφαλείας που μπορεί να εκμεταλλευτεί ένας επιτιθέμενος, στα GENESIS, MC Works64, GENESIS32, BizViz και IoTWorX, καθώς και στη δέσμη ICONICS Suite με τα GENESIS64, Hyper Historian, AnalytiX και MobileHMI. Πρόκειται για λογισμικό βιομηχανικού αυτοματισμού της ICONICS και της Mitsubishi Electric, με εφαρμογές εποπτικού ελέγχου και συλλογής δεδομένων (SCADA) και διεπαφής ανθρώπου-μηχανής (HMI), δηλαδή για την παρακολούθηση και τον έλεγχο βιομηχανικών διεργασιών. Η CISA τα κατατάσσει στον τομέα της κρίσιμης μεταποίησης και σημειώνει ότι χρησιμοποιούνται παγκοσμίως.
Η σοβαρότερη είναι η CVE-2026-16438, με βαθμολογία σοβαρότητας 9,1 στην κλίμακα CVSS 3.1 (Common Vulnerability Scoring System, από 0 έως 10) και 9,4 στη CVSS 4.0, δηλαδή κρίσιμη. Οφείλεται σε εσφαλμένη απόδοση δικαιωμάτων (CWE-266): τα προγράμματα εγκατάστασης δίνουν χωρίς λόγο προεπιλεγμένα δικαιώματα DCOM, του μηχανισμού των Windows για τη λειτουργία αντικειμένων από απόσταση, στον λογαριασμό διαχειριστή των προϊόντων. Όποιος μπορεί να συνδεθεί με αυτόν τον λογαριασμό μπορεί να χειρίζεται αντικείμενα DCOM, τοπικά ή απομακρυσμένα, και να αποκαλύψει, αλλοιώσει ή διαγράψει εσωτερικές πληροφορίες ή να προκαλέσει άρνηση υπηρεσίας (DoS), δηλαδή αδυναμία λειτουργίας του συστήματος. Επηρεάζονται τα GENESIS64, MobileHMI, Hyper Historian, AnalytiX και το ICONICS Suite έως την έκδοση 10.97.3, καθώς και κάθε έκδοση του MC Works64.
Οι CVE-2026-16436 και CVE-2026-16437, με βαθμολογία 9,2 και 7,1 (CVSS 4.0) και 8,1 και 6,4 (CVSS 3.1), αφορούν παράκαμψη της ταυτοποίησης λόγω αδύναμου μηχανισμού ανάκτησης ξεχασμένου κωδικού (CWE-640). Στη λειτουργία «security challenge» η απάντηση που ξεκλειδώνει το σύστημα είναι κοινή και σταθερή για όλους τους χρήστες, άρα όποιος την αποκτήσει ξεκλειδώνει το σύστημα (CVE-2026-16436). Στην CVE-2026-16437, διαχειριστής που έχει συνδεθεί τοπικά μπορεί να διαβάσει και να τροποποιήσει το αρχείο με την απάντηση, το οποίο προστατεύεται από τα Windows. Επηρεάζονται το GENESIS έως την έκδοση 11.03, το IoTWorX και τα προϊόντα της δέσμης ICONICS Suite έως την 10.97.3, καθώς και κάθε έκδοση των MC Works64, GENESIS32 και BizViz.
Η CVE-2023-4863, με βαθμολογία 9,3 (CVSS 4.0) και 8,2 (CVSS 3.1), είναι εγγραφή εκτός ορίων μνήμης (CWE-787) στο εσωτερικό συστατικό libwebp και αφορά τα GENESIS64 και ICONICS Suite 10.97 έως 10.97.2. Ταυτοποιημένος τοπικός επιτιθέμενος μπορεί να εκτελέσει αυθαίρετο κώδικα, εισάγοντας ως διαχειριστής του προϊόντος ειδικά διαμορφωμένο αρχείο. Διορθώθηκε στην έκδοση 10.97.3 του ICONICS Suite.
Για τις υπόλοιπες ευπάθειες, οι διορθώσεις υπάρχουν στο ICONICS Suite και τα συστατικά του από την έκδοση 10.98, στο IoTWorX από την 10.98 και στο GENESIS από την 11.04. Η Mitsubishi Electric προτείνει σε όσους δεν μπορούν να ενημερώσουν άμεσα, καθώς και στους χρήστες των προϊόντων χωρίς διόρθωση, να επιτρέπουν τη σύνδεση στους υπολογιστές μόνο σε διαχειριστή, να τους χρησιμοποιούν σε τοπικό δίκτυο πίσω από τείχος προστασίας, να περιορίσουν τη φυσική πρόσβαση και να εγκαταστήσουν πρόγραμμα προστασίας από ιούς (antivirus). Για τις CVE-2026-16436 και CVE-2026-16437 προτείνει επιπλέον, για τα GENESIS, GENESIS64, ICONICS Suite, Hyper Historian, AnalytiX, MobileHMI και MC Works64, να διαγραφεί το αρχείο .dat με τις απαντήσεις, να δημιουργηθεί κενό αρχείο με το ίδιο όνομα και να περιοριστεί η εγγραφή σε ξεχωριστό λογαριασμό διαχειριστή, διαφορετικό από του GENESIS.
Η CISA προσθέτει τις δικές της πάγιες συστάσεις: ελαχιστοποίηση της έκθεσης των συστημάτων ελέγχου στο δίκτυο, ώστε να μην έχουν πρόσβαση από το διαδίκτυο, απομόνωσή τους από τα επιχειρηματικά δίκτυα και χρήση VPN για απομακρυσμένη πρόσβαση. Η υπηρεσία, που με τη στρατηγική «CISA 2030» δηλώνει στροφή στην προληπτική κυβερνοάμυνα και στη θωράκιση των κρίσιμων υποδομών των ΗΠΑ, έχει παρουσιάσει και νέες εκδόσεις των εργαλείων ScubaGear και ScubaGoggles για Microsoft 365 και Google Workspace.
