CVE-2026-24060

概要

Automated Logic社のビルディングオートメーションシステム「WebCTRL」において、BACnetプロトコルの通信が暗号化されずに平文で送信される脆弱性が存在します。ネットワーク上の攻撃者がパケットを傍受することで、ビル制御コマンドやセンサーデータを盗聴・改ざんする可能性があります。同製品にはCVE-2026-29796（WebSocket認証欠如）も報告されており、複合的なリスクとして対応が必要です。CVSSスコアは9.1（Critical）です。

CVSSベクトル

影響を受けるソフトウェア

• Automated Logic WebCTRL（影響バージョンはICS-CERTアドバイザリを参照）

修正バージョンと回避策

CISA ICS-CERTが公開するアドバイザリに従い対応してください。BACnet/IP通信を暗号化トンネル（VPN等）で保護し、制御ネットワークをIT系ネットワークから分離するセグメンテーションを実施することを推奨します。BACnet Secure Connect（BACnet/SC）への移行も検討してください。

関連リンク

• CISA ICS Advisory (ICSA-26-078-08)
• NVD

データソース: NVD (NIST)

AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。