三菱電機は2025年5月29日、同社のPLC製品「MELSEC iQ-F」シリーズにおいて、情報の漏えいやサービス拒否（DoS）攻撃が可能となる脆弱性（CVE-2025-3755）が存在することを公表しました。
この脆弱性は、ネットワーク経由での攻撃によって、対象製品の情報を不正に読み出されたり、CPUユニットの通信停止や動作停止を引き起こす可能性があり、深刻なリスクをはらんでいます。
脆弱性の対象製品
影響を受けるのは、以下のMELSEC iQ-Fシリーズに属するすべてのバージョンです。
-
FX5Uシリーズ
-
FX5UCシリーズ
-
FX5UJシリーズ
-
FX5Sシリーズ（地域限定販売製品を含む）
対象製品の詳細な品番と対応確認は、三菱電機の公式サイトやダウンロードセンターから確認できます。
脆弱性の概要と影響
問題となっているのは、入力パラメータのインデックスやオフセットに対する不適切な検証（CWE-1285）による脆弱性です。これにより、攻撃者が細工された不正なパケットを送信することで、以下の影響を与える可能性があります。
-
MELSOFT製品（GX Works3、GOT等）との通信停止（DoS）
-
CPUユニットの動作停止（DoS）
-
製品内情報の不正読み出し
被害が発生した場合は、手動でのリセットが必要となるため、現場対応や復旧作業にも支障をきたす恐れがあります。
CVSSスコアは「9.1」 高リスク認定
脆弱性の深刻度は、CVSS v3.1 基本値9.1（Critical）と評価されており、インターネット経由での攻撃も可能（AV:N）、ユーザー操作不要（UI:N）であることから、遠隔からの無操作攻撃が可能な非常に危険な脆弱性です。
パッチ提供なし、回避策による対処が必要
本脆弱性について、三菱電機からのパッチ提供は予定されていません。そのため、以下のような軽減策・回避策を講じることでリスクの最小化が求められます。
推奨される対策：
-
インターネット接続時は、ファイアウォールやVPNを使用し、不正アクセスを遮断
-
製品を信頼されたLAN内でのみ運用し、外部からのアクセスをブロック
-
IPフィルタ機能を活用し、特定の信頼できるホストのみに通信を制限
-
当該製品や接続されたネットワークへの物理的アクセスを制限
※IPフィルタ機能の詳細は、「MELSEC iQ-F FX5 ユーザーズマニュアル（通信編）」の13.1節に記載されています。
参照
https://www.mitsubishielectric.co.jp/psirt/vulnerability/pdf/2025-003.pdf
関連記事
Cisco Webexに深刻なRCE脆弱性、会議リンク経由で不正コード実行の恐れ(CVE-2025-20236)
Juniper、セッションスマートルーターの重大な脆弱性を修正(CVE-2025-21589)
横河電機の産業用レコーダーに期設定で認証機能が無効化されている脆弱性(CVE-2025-1863)
Palo Alto NetworksのPAN-OSの脆弱性(CVE-2025-0110)のPoCが公開
Apache Parquetで重大な脆弱性、対象者はアップデートを(CVE-2025-30065)
Androidの定例アップデートでFreeTypeのゼロデイ脆弱性（CVE-2025-27363）が修正
GitLabとAtlassian、複数の高リスク脆弱性に対するパッチを公開：DoSや認証回避など影響(CVE-2025-0993)
Active! mail! でスタックベースのバッファオーバーフローの脆弱性 既にゼロデイ攻撃に悪用を確認(CVE-2025-42599)
キヤノン製複合機・プリンターに深刻な脆弱性(CVE-2025-2146)CVSS 9.8の境界外書き込み、アップデート必須
