30秒で判断
- 対応すべき人: openPDC または openHistorian（Grid Protection Alliance）を運用している方
- 対応不要な人: openPDC/openHistorianを使用していない方
- 確認コマンド: サービスコンソールインターフェースがネットワークに公開されているか、Windows認証が有効になっているかを確認
概要
CVE-2026-100730 は、電力系統のリアルタイム監視・履歴データ管理に使われるopenPDCおよびopenHistorianに存在する脆弱性です。
サービスコンソールのインターフェースが、クライアントから送られたデータ構造をそのままデシリアライズしてしまう不備があります。Windows認証を有効にしている構成では、この機能に到達するには既に認証済みである必要がありますが、Windows認証を使っていない構成では未認証のネットワーク攻撃者からも到達可能です。悪用された場合、任意のオブジェクトグラフのデシリアライズを引き起こされ、対象サービスアカウントの権限でリモートコード実行につながる恐れがあります。
同じCISA ICS Advisory（ICSA-26-281-02）では、openPDCの公開Dockerイメージに初回利用時の強制変更なしの固定管理者認証情報が含まれている不備（CVE-2026-105278、同CVSS9.8）も併せて公開されています。
CVSSと攻撃の前提
| 項目 | 内容 |
|---|---|
| CVSSスコア | 9.8（Critical） |
| 認証 | Windows認証利用時は認証済みが必要／未使用時は不要（未認証で到達可能） |
| 前提 | サービスコンソールインターフェースへのネットワークアクセス |
| 影響 | リモートコード実行（サービスアカウント権限） |
影響を受けるソフトウェア
| 製品 | ベンダー | 備考 |
|---|---|---|
| openPDC | Grid Protection Alliance | サービスコンソールインターフェース |
| openHistorian | Grid Protection Alliance | サービスコンソールインターフェース |
公開データには具体的な修正バージョンの記載がありません。CISA ICS Advisory（ICSA-26-281-02）を参照してください。
修正バージョンと回避策
- CISA ICS Advisory（ICSA-26-281-02）を確認し、ベンダー（Grid Protection Alliance）が提供する最新のパッチ・アドバイザリ情報に従ってください。
- Windows認証を有効化し、サービスコンソールインターフェースへのネットワークアクセスを信頼できるホストに制限することで、攻撃の到達範囲を狭められます。
- 同時公開のCVE-2026-105278（Dockerイメージの固定管理者認証情報）を利用している場合は、認証情報を速やかに変更してください。
関連リンク
データソース: NVD (NIST), CISA ICS Advisories AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。