横河電機の産業用レコーダーに期設定で認証機能が無効化されている脆弱性(CVE-2025-1863)

2025年4月18日、横河電機（Yokogawa Electric Corporation）は、自社の記録計製品において初期設定で認証機能が無効化されている脆弱性を公表しました。該当製品をネットワークに接続した際に、認証なしで外部から全機能にアクセスされる危険性があるとのことで、CVSS v3スコアは9.8（Critical）と評価されています。

この脆弱性は「CVE-2025-1863」として登録されており、産業機器における構成情報や計測データの改ざんといった重大なインシデントに繋がる可能性があります。

影響を受ける製品とバージョン

脆弱性の概要：認証機能が初期状態で無効

問題となっているのは、以下の記録計およびデータ収集装置において、出荷時のデフォルト状態で認証機能（ログイン機能）が無効になっているという設定です。そのため、ネットワークに接続されている場合、誰でもアクセスでき、計測値や設定の改ざんが可能な状態となっています。

この設定ミスは、CWE（Common Weakness Enumeration）におけるCWE-1188：不適切な初期設定に該当します。

推奨される対策

横河電機は、以下の即時対策を推奨しています：

1. 認証機能（ログイン機能）を有効にする

2. デフォルトパスワードから安全なパスワードに変更する

加えて、セキュリティ対策を全体的に強化するため、次のような包括的なセキュリティプログラムの導入も推奨されています

• パッチ適用の運用

• ウイルス対策ソフトやEDRの導入

• バックアップとリカバリ体制の確保

• ネットワークゾーニングとハードニング

• ホワイトリスト管理とファイアウォール設定

なお、上記対応における作業が横河電機のサービス担当者により行われる場合、その費用は顧客負担となる点に注意が必要です。

情報システム部門・OT管理者へのメッセージ

本脆弱性は、「操作ミス」ではなく「設計上の初期不備」に起因するセキュリティホールであり、今すぐにでも設定を見直すべき内容です。特に製造業やインフラ系企業において、OTネットワークとITネットワークが部分的に接続されているケースでは、外部侵入時に最も狙われる“測定装置・ログ装置”の防御が極めて重要です。

製品が稼働中であっても、以下のようなステップでの確認と対策を推奨します：

• 現在のファームウェアバージョンと設定内容の棚卸し

• ネットワークに接続されている記録装置の一覧化

• 認証設定・パスワード管理ポリシーの見直し