【活用ガイド】

JVNDB-2026-006105

複数のHitachi Energy製品における複数の脆弱性

概要

Hitachi Energyが提供する複数の製品には、次の複数の脆弱性が存在します。
  • 危険なアクションが実行可能な権限（CWE-267） - CVE-2026-2459、CVE-2026-2460
  • 不十分な認可や権限の不適切な取扱い（CWE-280） - CVE-2026-1772
  • 許可しない入力のリストが不完全（CWE-184） - CVE-2026-1773
  • 不適切な再帰制御（CWE-674） - CVE-2024-8176
  • 制限または調整なしのリソースの割り当て（CWE-770） - CVE-2025-59375
CVSS による深刻度 (CVSS とは?)

影響を受けるシステム


日立エナジー (旧 日立ABBパワーグリッド)
  • REB500 バージョン 8.3.3.0およびそれ以前 (CVE-2026-2459、CVE-2026-2460)
  • RTU500 CMU ファームウェア バージョン 12.7.1から12.7.7 (CVE-2026-1772、CVE-2026-1773、CVE-2024-8176、CVE-2025-59375)
  • RTU500 CMU ファームウェア バージョン 13.5.1から13.5.4 (CVE-2026-1772、CVE-2026-1773、CVE-2024-8176、CVE-2025-59375)
  • RTU500 CMU ファームウェア バージョン 13.6.1から13.6.2 (CVE-2026-1772、CVE-2026-1773、CVE-2024-8176、CVE-2025-59375)
  • RTU500 CMU ファームウェア バージョン 13.7.1から13.7.7 (CVE-2026-1772、CVE-2026-1773、CVE-2024-8176、CVE-2025-59375)
  • RTU500 CMU ファームウェア バージョン 13.8.1 (CVE-2026-1772、CVE-2026-1773、CVE-2024-8176、CVE-2025-59375)

想定される影響

脆弱性を悪用された場合、次のような影響を受ける可能性があります。
  • 低権限のユーザーによって、権限のないディレクトリの内容にアクセスされ、改ざんされる（CVE-2026-2459、CVE-2026-2460）
  • 必要な権限を持たないユーザーによって、ユーザー管理情報を読み取られる（CVE-2026-1772）
  • IEC 60870-5-104双方向機能が設定されている場合において、無効なUフォーマットフレームを送信されサービス運用妨害（DoS）状態を引き起こされる（CVE-2026-1773）
  • IEC61850機能が設定されている場合において、細工されたXML文書を解析した場合、サービス運用妨害（DoS）状態やメモリ破損を引き起こされる（CVE-2024-8176）
  • IEC61850機能が設定されている場合において、細工されたドキュメントを受信した場合、大量の動的メモリ割り当てを引き起こされる（CVE-2025-59375）
対策

[アップデートする]
開発者は、アップデートを提供しています。

[ワークアラウンドを実施する]
一部の製品に対しては、ワークアラウンドの適用も推奨しています。

詳細は、開発者が提供する情報を確認してください。
ベンダ情報

Hitachi Energy
CWEによる脆弱性タイプ一覧  CWEとは?

  1. 不完全なブラックリスト(CWE-184) [その他]
  2. 危険なアクションで定義された権限(CWE-267) [その他]
  3. 不十分なパーミッションまたは特権の不適切な処理(CWE-280) [その他]
  4. 不適切な再帰制御(CWE-674) [その他]
  5. 制限またはスロットリング無しのリソースの割り当て(CWE-770) [その他]
共通脆弱性識別子(CVE)  CVEとは?

  1. CVE-2024-8176
  2. CVE-2025-59375
  3. CVE-2026-1772
  4. CVE-2026-1773
  5. CVE-2026-2459
  6. CVE-2026-2460
参考情報

  1. JVN : JVNVU#95835809
  2. ICS-CERT ADVISORY : ICSA-26-062-02
  3. ICS-CERT ADVISORY : ICSA-26-062-03
更新履歴

  • [2026年03月06日]
      掲載

公表日2026/03/05
登録日2026/03/06
最終更新日2026/03/06