Les outils d’ingénierie Mitsubishi exposent les programmes de commande via un contournement local du mot de passe

Une faille d’authentification de gravité élevée dans le logiciel d’ingénierie GX Works3 de Mitsubishi Electric peut permettre à un attaquant local de contourner la protection par mot de passe des blocs et d’accéder aux programmes de commande industriels.

Référencée sous l’identifiant CVE-2026-15688, la vulnérabilité affecte également Motion Control Settings, un composant logiciel distribué avec GX Works3. Un attaquant capable d’exécuter l’application concernée et de modifier son code exécutable en mémoire peut s’authentifier avec un mot de passe invalide.

Une exploitation réussie pourrait exposer les programmes de commande à une consultation, une modification, une destruction ou une suppression non autorisée. Ces produits sont utilisés dans le monde entier dans le secteur de la fabrication critique, ce qui fait des postes de travail d’ingénierie compromis un vecteur potentiel de perturbation des opérations.

L’avis de Mitsubishi Electric a été publié initialement, puis republié par la CISA le 17 septembre 2026.

Toutes les versions répertoriées sont considérées comme vulnérables

La vulnérabilité concerne deux produits Mitsubishi Electric :

• GX Works3 : vers:all/*
• Motion Control Settings fourni avec GX Works3 : vers:all/*

Les deux produits sont considérés comme « affectés ». Bien que les données relatives aux versions concernées couvrent toutes les versions, Mitsubishi Electric fournit des versions mises à niveau précises ainsi qu’un paramètre de sécurité du projet destiné à réduire le risque.

GX Works3 est un environnement d’ingénierie utilisé pour travailler sur des projets de commande. Motion Control Settings fournit des fonctions de configuration associées au sein du progiciel GX Works3. La faiblesse concerne l’authentification qui protège les blocs à l’intérieur de ces projets, et non un protocole réseau directement exposé par un contrôleur.

Cette distinction définit le modèle d’attaque. Il ne s’agit pas d’une faille présentée comme exploitable à distance contre un équipement industriel exposé sur Internet. L’attaquant doit d’abord obtenir un accès local suffisant pour lancer le logiciel vulnérable et altérer son module exécutable en mémoire.

Local ne signifie pas inoffensif. Les postes de travail d’ingénierie sont des actifs privilégiés, car ils hébergent, modifient et transfèrent la logique qui commande les processus industriels.

La modification de la mémoire contourne la validation du mot de passe des blocs

CVE-2026-15688 est classée comme CWE-303, Incorrect Implementation of Authentication Algorithm. Après la modification d’une partie du code exécutable en cours d’exécution, le logiciel vulnérable n’applique pas correctement l’authentification attendue par mot de passe des blocs.

La séquence d’attaque exige que l’adversaire :

1. Obtienne un accès local à un ordinateur exécutant GX Works3 ou Motion Control Settings.
2. Lance le produit concerné.
3. Modifie une partie de son module exécutable en mémoire.
4. Saisisse un mot de passe de bloc invalide.
5. Passe l’authentification malgré l’utilisation d’identifiants incorrects.

L’accès ainsi obtenu peut permettre à l’attaquant de consulter des programmes de commande protégés ou d’en altérer le contenu. L’avis mentionne également la destruction et la suppression des programmes de commande parmi les conséquences possibles.

Cette technique nécessite davantage que la simple possession d’un fichier de projet. L’attaquant doit disposer d’un accès de bas niveau à l’ordinateur d’ingénierie et de privilèges suffisants pour intervenir sur un processus en cours d’exécution. Toutefois, les scores publiés considèrent ces conditions comme relativement faciles à réunir une fois le système compromis.

Aucune interaction de l’utilisateur n’est nécessaire pendant l’exploitation. La complexité de l’attaque est également évaluée comme faible.

La vulnérabilité a obtenu un score CVSS v3.1 de 8,8, Élevé, avec le vecteur suivant :

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Cette évaluation attribue un impact potentiel élevé à la confidentialité, à l’intégrité et à la disponibilité, tout en indiquant que l’exploitation franchit une limite de périmètre de sécurité.

Selon CVSS v4.0, la vulnérabilité obtient une note de 9,2, Critique :

CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:H/SA:H

Les deux systèmes de notation modélisent différemment les conséquences, mais identifient tous deux un risque sérieux pour les données d’ingénierie protégées et l’environnement opérationnel connecté.

La mise à jour seule ne constitue pas un correctif complet

Les instructions de remédiation de Mitsubishi Electric associent une mise à niveau logicielle à un paramètre de sécurité au niveau du projet. Les administrateurs doivent effectuer ces deux opérations pour le produit concerné.

Pour GX Works3, les clients doivent :

1. Installer la version 1.096A ou ultérieure depuis le portail de téléchargement logiciel de Mitsubishi Electric.
2. Définir la version de sécurité du projet sur « 2 ».
3. Suivre la section 15.9, « Preventing Illegal Access to/Falsification of Data (Security Version) », du GX Works3 Operating Manual.

Pour Motion Control Settings, les clients doivent :

1. Installer la version 1.070Y ou ultérieure.
2. Définir la version de sécurité du projet sur « 2 ».
3. Suivre la section 12.5, « Preventing Illegal Access to/Falsification of Data (Security Version) », de Motion Control Setting Function Help.

Les procédures propres à chaque produit sont également décrites dans l’avis de sécurité 2026-007 de Mitsubishi Electric.

Les organisations doivent inventorier les installations autonomes de GX Works3 ainsi que les systèmes contenant le logiciel Motion Control Settings fourni. Vérifier uniquement la version visible de GX Works3 peut laisser le composant associé ou la configuration de sécurité du projet sans protection.

Les changements doivent d’abord faire l’objet d’une analyse de leur impact opérationnel et des risques. Dans les environnements industriels, les mises à jour des logiciels d’ingénierie et les modifications des paramètres de projet peuvent nécessiter des tests contrôlés avant leur déploiement sur les postes de travail de production.

Restreindre l’accès aux postes de travail réduit le vecteur d’attaque

Puisque l’exploitation nécessite une exécution locale et une modification de la mémoire, l’accès à l’ordinateur d’ingénierie constitue la principale frontière de sécurité.

Mitsubishi Electric recommande d’exploiter les systèmes concernés au sein d’un LAN et de bloquer les connexions à distance provenant de réseaux, d’hôtes et d’utilisateurs non fiables. Lorsqu’un poste de travail d’ingénierie nécessite une connectivité Internet ou une administration à distance, l’accès doit passer par des pare-feu, des VPN ou des contrôles équivalents, et rester limité au personnel de confiance.

Le fournisseur recommande également :

• De bloquer ou de déconseiller l’accès aux liens transmis par des messages non fiables.
• D’empêcher les utilisateurs d’ouvrir des pièces jointes provenant de courriels non fiables.
• D’installer un antivirus sur les ordinateurs exécutant les produits concernés.
• De restreindre l’accès physique aux postes de travail d’ingénierie.
• De limiter l’accès aux équipements réseau et aux autres ordinateurs capables de communiquer avec ces systèmes.

La CISA conseille aux organisations d’éviter d’exposer directement les dispositifs de contrôle industriel à Internet. Les réseaux de contrôle et les équipements distants doivent être placés derrière des pare-feu et rester séparés des environnements bureautiques.

Les VPN peuvent fournir un canal d’accès distant plus sûr, mais ils n’éliminent pas les risques liés aux terminaux. L’infrastructure VPN et chaque poste de travail connecté doivent eux aussi rester à jour et bénéficier de protections appropriées.

La segmentation réseau est particulièrement pertinente dans ce cas. Un attaquant qui compromet un terminal bureautique ordinaire ne devrait pas pouvoir accéder automatiquement au poste de travail utilisé pour modifier la logique de commande.

Aucun indicateur d’exploitation n’a été publié pour les défenseurs

Aucun hachage de logiciel malveillant, artefact de processus, signature mémoire ou autre indicateur de compromission n’a été divulgué pour CVE-2026-15688. Aucune information ne fait non plus état d’une exploitation de la vulnérabilité dans le cadre d’attaques.

Lorsque la télémétrie pertinente est disponible, les défenseurs doivent rechercher les connexions interactives ou distantes non autorisées aux postes de travail d’ingénierie, l’exécution inattendue de composants GX Works3, les manipulations suspectes de la mémoire des processus et les modifications inexpliquées de projets de commande. Les changements apportés aux projets doivent être comparés aux travaux d’ingénierie approuvés et aux sauvegardes connues comme fiables.

L’avis disponible n’identifie pas CVE-2026-15688 comme une entrée du catalogue des vulnérabilités exploitées connues de la CISA. Par conséquent, aucune date d’ajout au catalogue KEV ni échéance fédérale de remédiation n’est connue. Aucune information n’a été communiquée concernant l’ajout récent de vulnérabilités Mitsubishi Electric au catalogue KEV en lien avec ce problème.

La vulnérabilité a été signalée à Mitsubishi Electric par Mayeul Fargier, Erwan Cordier et Noé Flatreaud. La publication de la CISA est une republication directe de l’avis CSAF du fournisseur, destinée à en élargir la visibilité.

Pour les propriétaires d’actifs, les priorités immédiates sont claires : mettre à niveau les produits vers les versions indiquées, définir la sécurité du projet sur la version « 2 », restreindre l’accès aux postes de travail d’ingénierie et vérifier qu’aucun programme de commande protégé n’a été modifié sans autorisation.