三菱電機は2025年6月26日、同社が製造・提供する空調システムにおいて、認証を回避される重大な脆弱性（CVE-2025-3699）が存在することを公表しました。この脆弱性により、攻撃者が認証を必要とせずにシステムを不正に操作したり、ファームウェアの改ざんや情報漏洩を引き起こす可能性があります
脆弱性の概要と影響
本脆弱性は、CWE-306「重要な機能に対する認証の欠如」に該当し、CVSS v3.1の基本スコアは9.8と評価されています。対象となる製品群は非常に広範で、G-50シリーズやAE-200シリーズ、EW-50シリーズなど多数のモデルとファームウェアバージョンが含まれます。
例えば、以下のモデルが対象です：
- G-50、G-50A、GB-50、GB-50A（Ver.3.37以前）
- AE-200J、AE-200A、AE-200E（Ver.8.01以前）
- AE-50J、AE-50A、AE-50E、EW-50J、EW-50A、EW-50E、TE-200A、TE-50A、TW-50A（いずれもVer.8.01以前）
脆弱性の悪用シナリオ
三菱電機の発表では、ネットワーク構成によっては脆弱性が悪用される可能性が大きく異なるとされています：
- 構成例1（イントラネットのみ）：インターネット経由での攻撃は不可能
- 構成例2（VPN経由の外部アクセス）：VPNが正しく構成されていれば安全
- 構成例3（VPNなしの外部アクセス）：攻撃成功のリスクが高い
特に構成例3では、攻撃者がインターネット経由で空調システムにアクセスできる可能性があり、重大なセキュリティリスクとなります。
現時点での対策と推奨事項
三菱電機は、現時点で脆弱性を修正するパッチは公開しておらず、一部製品に関しては改修版の準備を進めている段階としています（対象モデル：AE-200シリーズ、AE-50シリーズ、EW-50シリーズ、TE-200A、TE-50A、TW-50A）。
利用者に対しては以下の対策を推奨しています：
- 信頼できないネットワークやホストからのアクセスを制限する
- 空調システムや関連コンピュータ、接続ネットワークへの物理的アクセスを制限する
- アンチウイルスソフトの利用や、OS・ブラウザの最新状態維持
参照
https://www.mitsubishielectric.com/psirt/vulnerability/pdf/2025-004_en.pdf
関連記事
FortinetのFortiSOAR / FortiWebに新たな認証関連の脆弱性(CVE-2025-59808／CVE-2025-64471)
イギリス政府、ハッカーやランサムウェア グループへの身代金 支払いの禁止を発表
SonicWall「SMA1000」シリーズに深刻なSSRF 脆弱性(CVE-2025-40595)
Microsoft Edgeに深刻な2件の脆弱性(CVE-2025-6554,CVE-2025-49713)
Cisco ISEに高深刻度のDoS 脆弱性（CVE-2025-20343）
Notepad++のアップデータに深刻な脆弱性、更新プロセスを乗っ取られマルウェアが配布される恐れ(CVE-2023-40031)
中小企業のセキュリティ対策、7割が基本的な対策を実施も課題残る-IPA調査
Google広告で読売新聞のフィッシング サイトへ誘導 吉川晃司さんと黒柳徹子さんの偽対談 詐欺広告に注意
伊予銀行、アンケートの情報流出、ローレルバンクマシンのJijillaへの不正アクセスが原因
