【活用ガイド】

JVNDB-2026-009149

Automated Logic製WebCTRL Premium Serverにおける複数の脆弱性

概要

Automated Logicが提供するWebCTRL Premium Serverには、次の複数の脆弱性が存在します。
  • 同一ポートに複数のソケットをバインドする問題（CWE-605） - CVE-2026-25086
  • スプーフィングによる認証回避（CWE-290） - CVE-2026-32666
  • 重要な情報の平文送信（CWE-319） - CVE-2026-24060
CVSS による深刻度 (CVSS とは?)

影響を受けるシステム


Automated Logic Corporation
  • WebCTRL Premium Server v8.5より前のバージョン

想定される影響

脆弱性を悪用された場合、次のような影響を受ける可能性があります。
  • 特定の条件下において、攻撃者によりWebCTRLが使用するポートが奪取され、WebCTRLサービスになりすまされる（CVE-2026-25086）
  • WebCTRLはネットワーク層認証を持たないBACnetプロトコルを使用しているため、攻撃者によりBACnetパケットが偽造され、WebCTRLサーバーまたは関連するAutomatedLogicコントローラーに対してなりすまし通信が行われる（CVE-2026-32666）
  • WebCTRLのBACnet通信が暗号化されていないため、攻撃者により通信内容の盗聴および改ざんが行われる（CVE-2026-24060）
対策

[アップデートする]
開発者は、アップデートを提供しています。

[ワークアラウンドを実施する]
開発者は、ワークアラウンドの適用を推奨しています。

詳細は、ICS Advisoryおよび開発者が提供する情報を確認してください。
ベンダ情報

Automated Logic Corporation
CWEによる脆弱性タイプ一覧  CWEとは?

  1. スプーフィングによる認証回避(CWE-290) [その他]
  2. 重要な情報の平文での送信(CWE-319) [その他]
  3. 同一ポートに複数のソケットをバインドする問題(CWE-605) [その他]
共通脆弱性識別子(CVE)  CVEとは?

  1. CVE-2026-24060
  2. CVE-2026-25086
  3. CVE-2026-32666
参考情報

  1. JVN : JVNVU#98985254
  2. ICS-CERT ADVISORY : ICSA-26-078-08
更新履歴

  • [2026年03月27日]
      掲載

公表日2026/03/23
登録日2026/03/27
最終更新日2026/03/27