三菱電機工廠監控軟體 GENESIS64 等有 4 個漏洞，其中一個是所有使用者共用同一組解鎖答案：請升級到 10.98 或 11.04，MC Works64、GENESIS32、BizViz 原廠不打算修補

趨勢新聞2026 年 10 月 28 日

工廠中控室螢幕上的監控畫面，用來看連線設備的運作狀態，也能從畫面下指令，這類軟體叫 SCADA（監控與資料擷取系統）。三菱電機 10 月 15 日公告，旗下 ICONICS 的 GENESIS64 等 10 款 SCADA 相關軟體合計有 4 個漏洞，各產品受影響的項目不同；美國網路安全暨基礎設施安全局（CISA）10 月 27 日（美國時間）轉發。其中一個漏洞是：軟體內建的解鎖機制，答案由所有使用者共用而且固定不變，遠端攻擊者若取得這組答案，可能繞過驗證、解鎖系統。修法是把 ICONICS Suite（含 GENESIS64）升到 10.98、GENESIS 升到 11.04；MC Works64、GENESIS32、BizViz 三款，原廠表明沒有出修補版的計畫，建議改用 GENESIS64 或 GENESIS。本站的讀法：工廠裡有這幾款軟體的，先請 IT 或設備人員查版本；用到三款沒有修補計畫的產品，要開始評估替換。

我會不會受影響？

• GENESIS64、ICONICS Suite、Hyper Historian、AnalytiX、MobileHMI：10.97.3 及更舊版本都在範圍內，升到 10.98 以上。這幾款都包在 ICONICS Suite 安裝檔裡，原廠的查法是到 Windows「設定 → 應用程式」看「ICONICS Suite」的版本號，顯示 10.97.306.55 或更舊就受影響。
• GENESIS（11 版）：11.03 及更舊受影響，升到 11.04 以上；「ICONICS GENESIS」顯示 11.3.578 或更舊就是。
• IoTWorX：10.97.3 及更舊受影響，10.98 以上已修。
• MC Works64、GENESIS32、BizViz：所有版本受影響，原廠沒有修補計畫，先做下面的防護，並考慮換成 GENESIS64 或 GENESIS。
• 沒有用這 10 款軟體：這則公告不適用。公告列的只有這些軟體，沒有列 PLC（可程式控制器）等三菱電機硬體。

這次的兩份公告都沒有提到這些產品已遭攻擊；CISA 頁面的致謝欄寫，漏洞由三菱電機自己發現。

四個漏洞各是什麼

先講兩個名詞。CVSS 是 0 到 10 的嚴重度分數，原廠這次用 4.0 版評分。「挑戰回應」是一種解鎖方式：系統出一道題目，輸入正確答案才放行。

CVE-2026-16436（9.2 分）出在產品的「安全挑戰」功能。三菱電機公告寫：“the challenge response used to unlock the system is common to all users and fixed. Therefore, anyone who obtains the challenge response can unlock the system.”，意思是「用來解鎖系統的挑戰回應，所有使用者共用，而且固定不變。因此任何取得這組回應的人都能解鎖系統。」（本站譯）打個比方，像一棟大樓所有住戶的備用鑰匙都是同一把。比喻有兩個極限：攻擊者得先拿到這把鑰匙，公告只寫「以某種方式取得」，評分也標了需要特定條件；解鎖也不等於能控制整座工廠，公告列的後果是資料外洩、竄改、刪除或系統停擺。同類的 CVE-2026-16437（7.1 分）是存放答案的管理檔，本機管理員可以讀寫，攻擊者要先以管理員身分登入那台電腦，竄改檔案後解鎖。

分數最高的是 CVE-2026-16438（9.4 分）。DCOM 是 Windows 讓一台電腦呼叫另一台電腦上程式元件的機制，UAC 是 Windows 執行高權限動作前跳出確認的「使用者帳戶控制」。安裝程式多給了產品管理員帳號 DCOM 權限，能用那個管理員帳號登入的人，可以從本機或遠端操作原本要經過 UAC 確認的元件，前提是要能登入那個帳號。CVE-2023-4863（9.3 分）是處理 WebP 圖片的 libwebp 元件漏洞，2023 年 9 月 Chrome 修過，CISA 當時列入已遭利用漏洞目錄，但這不代表這次的工控產品已遭攻擊。在 GENESIS64 與 ICONICS Suite 裡，攻擊者要先登入電腦、再以產品管理員身分匯入特製檔案，只影響 10.97 到 10.97.2，10.97.3 已修。

CISA 頁面摘要標示「3 Vulnerabilities」，但正文列出 4 個 CVE，其中兩個同屬一種漏洞類型；三菱電機公告明列四個，本站照四個寫。

怎麼修，暫時不能升級怎麼辦

能升級的，從 ICONICS 的客戶下載區取得 10.98 或 11.04，IoTWorX 從 Docker Hub 取得。暫時不能升級、或用的是沒有修補計畫的產品，三菱電機對所有漏洞列的防護有：電腦設成只有管理員能登入；放在內部網路，擋掉不受信任網路、主機與非管理員的遠端登入；要連網際網路時用防火牆或 VPN，且只讓管理員遠端登入；限制實體接觸那台電腦與它所在的網路；不點不明郵件的連結與附件；裝防毒軟體。DCOM 那個漏洞另外要用防火牆擋掉不受信任網路與主機的存取，防毒也要裝在所有能連到它的電腦上。

共用答案的兩個漏洞另有三個步驟，只適用 GENESIS、GENESIS64、ICONICS Suite、Hyper Historian、AnalytiX、MobileHMI 與 MC Works64（不含 GENESIS32、BizViz、IoTWorX）：刪掉存答案的檔案（10 版是 C:\Program Files\ICONICS\GENESIS64\Components\ClientChallengeTable.dat，11 版是 C:\ProgramData\ICONICS\11\SecurityChallenges.dat），在同一位置建一個同名的空白檔，再把這個檔案的寫入與刪除權限限定給一個專用的管理員帳號，這個帳號要和 GENESIS 的管理員帳號不同。

沒有修補計畫的三款，台灣工廠怎麼看

CISA 這次是照原文轉載三菱電機的公告，並註明內容正確性由原廠負責。原廠沒有列各國用戶數，CISA 只標部署地區「全球」、產業「關鍵製造業」；台灣有多少工廠在用，本站沒有查到公開數字。原廠公告的聯絡窗口寫「請聯絡當地的三菱電機代表」。MC Works64 換 GENESIS64，三菱電機另有一份移轉手冊，只有日文，要登入三菱電機 FA 會員網站才看得到。

本站的讀法：這三款的漏洞不會隨時間自動修好，替換前可依各產品適用的原廠緩解措施降低風險。監控畫面不能停的產線，可以由廠務與資訊人員一起評估移轉需求、是否需要停機，以及合適的時段。