三菱電機は2025年12月16日、GOT（表示器）向け開発ツール「GT Designer3」に、認証情報が平文で保存されることに起因する情報漏えいの脆弱性（CVE-2025-11009）があると公表しました。GT Designer3は認証情報を平文のまま保存し、平文のまま突合（照合）も行う仕様で、攻撃者がプロジェクトデータにアクセスできる場合、そこから認証情報を取得できる可能性があります。
何が問題か：プロジェクトデータから認証情報が取られる可能性
脆弱性の根本は「重要な情報の平文保存（CWE-312）」です。攻撃者がGT Designer3のプロジェクトデータを入手できれば、保存されている認証情報を平文で読み取れる可能性があるとしています。取得された認証情報が悪用されると、GOT2000シリーズまたはGOT1000シリーズが不正に操作される恐れがある、というのが同社の説明です。
CVEと深刻度（CVSS）
本件のCVEは CVE-2025-11009。CVSS v3.1のベクターは AV:L/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N で、基本値は 5.1 とされています。
（前提として「ローカル（AV:L）」かつ「攻撃難易度が高い（AC:H）」一方で、情報漏えいは「高（C:H）」という整理です）
影響を受ける製品・バージョン
影響範囲として挙げられているのは以下の通りで、いずれも「全バージョン」が対象です。
-
GT Designer3 Version1（GOT2000） 全バージョン
-
GT Designer3 Version1（GOT1000） 全バージョン
対策版は提供予定なし 利用者は軽減策で対応へ
三菱電機は、対策版（修正版）のリリース予定はないと明記しており、ユーザー側で軽減策・回避策を取るよう求めています。主な推奨事項は次の通りです。
-
開発用PCはLAN内で使用し、信頼できないネットワーク／ホスト／ユーザーからのリモートログインを遮断する
-
インターネット接続が必要な場合は、ファイアウォールやVPN等で不正アクセスを防ぎ、信頼できるユーザーだけにリモートログインを許可する
-
開発用PCおよび通信可能なPC・ネットワーク機器への物理アクセスを制限する
-
開発用PCにウイルス対策ソフトを導入する
-
不審なファイルを開かない、不審なリンクをクリックしない
関連記事
横河電機の産業用レコーダーに期設定で認証機能が無効化されている脆弱性(CVE-2025-1863)
エレコム製無線LANルータに複数の深刻な脆弱性、サポート終了製品も含まれる(CVE-2025-43879,CVE-2025-48890)
SAP、11月の月例パッチで緊急2件を含む20件を修正-(CVE-2025-4289,CVE-2025-42887)
FortinetのFortiSOAR / FortiWebに新たな認証関連の脆弱性(CVE-2025-59808／CVE-2025-64471)
Trend Micro Apex Centralに2件の深刻なRCE 脆弱性-CVSS 9.8、即時パッチ適用を推奨
Dell Storage Managerに深刻な認証回避の脆弱性（CVE-2025-43995）-未認証で管理APIに到達の恐れ
三菱電機「MELSEC iQ-F」シリーズに深刻な脆弱性、情報漏えいやDoS攻撃の恐れ(CVE-2025-3755)
WordPressの有料 プラグイン「Yoast SEO Premium」にXSS 脆弱性(CVE-2025-11241)
pgAdminに深刻な脆弱性4件（CVE-2025-12762, CVSS 9.1）など
