Gli strumenti di engineering Mitsubishi espongono i programmi di controllo tramite un bypass della password locale

Una vulnerabilità di autenticazione ad alta gravità nei software di engineering GX Works3 di Mitsubishi Electric può consentire a un attaccante locale di aggirare la protezione tramite password dei blocchi e ottenere accesso ai programmi di controllo industriale.

Tracciata come CVE-2026-15688, la vulnerabilità interessa anche Motion Control Settings, un componente software distribuito con GX Works3. Un attaccante in grado di eseguire l’applicazione interessata e modificare in memoria il relativo codice eseguibile può autenticarsi con una password non valida.

Un exploit riuscito potrebbe esporre i programmi di controllo a visualizzazione, alterazione, distruzione o eliminazione non autorizzate. I prodotti sono utilizzati in tutto il mondo nel settore della produzione critica, rendendo le workstation di engineering compromesse un possibile punto di accesso per causare interruzioni operative.

L’avviso di Mitsubishi Electric è stato pubblicato inizialmente e ripubblicato da CISA il 17 settembre 2026.

Tutte le versioni elencate sono considerate interessate

La vulnerabilità riguarda due prodotti Mitsubishi Electric:

• GX Works3: vers:all/*
• Motion Control Settings incluso in GX Works3: vers:all/*

Entrambi i prodotti hanno lo stato “known affected”. Sebbene i dati sulle versioni interessate comprendano tutte le versioni, Mitsubishi Electric indica release aggiornate specifiche e una configurazione di sicurezza del progetto pensata per ridurre il rischio.

GX Works3 è un ambiente di engineering utilizzato per lavorare sui progetti di controllo. Motion Control Settings fornisce funzionalità di configurazione correlate all’interno del pacchetto software GX Works3. La debolezza interessa l’autenticazione che protegge i blocchi all’interno dei progetti, non un protocollo di rete esposto direttamente da un controller.

Questa distinzione definisce il modello di attacco. Non si tratta di una vulnerabilità descritta come sfruttabile da remoto contro un dispositivo industriale esposto su Internet. L’attaccante deve prima ottenere un accesso locale sufficiente ad avviare il software vulnerabile e manomettere il relativo modulo eseguibile in memoria.

Locale non significa innocuo. Le workstation di engineering sono risorse privilegiate perché contengono, modificano e trasferiscono la logica che controlla i processi industriali.

La modifica della memoria aggira la convalida della password dei blocchi

CVE-2026-15688 è classificata come CWE-303, Incorrect Implementation of Authentication Algorithm. Il software vulnerabile non applica in modo affidabile l’autenticazione prevista tramite password dei blocchi dopo che un attaccante ha alterato parte del codice eseguibile in esecuzione.

La sequenza di attacco richiede che l’avversario:

1. Ottenga l’accesso locale a un computer che esegue GX Works3 o Motion Control Settings.
2. Avvii il prodotto interessato.
3. Modifichi in memoria una parte del relativo modulo eseguibile.
4. Invii una password del blocco non valida.
5. Superi l’autenticazione nonostante la credenziale errata.

L’accesso ottenuto può consentire all’attaccante di visualizzare i programmi di controllo protetti o manometterne i contenuti. L’avviso identifica inoltre la distruzione e l’eliminazione dei programmi di controllo tra i possibili esiti.

Questa tecnica richiede più del semplice possesso di un file di progetto. L’attaccante ha bisogno di un accesso a basso livello al computer di engineering e di privilegi sufficienti a interferire con un processo in esecuzione. Tuttavia, il punteggio pubblicato considera questi requisiti relativamente accessibili una volta violato un sistema.

Durante lo sfruttamento non è richiesta alcuna interazione da parte dell’utente. Anche la complessità dell’attacco è valutata bassa.

Il problema ha ricevuto un punteggio CVSS v3.1 di 8,8, Alto, con il vettore:

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

La valutazione assegna un impatto potenziale elevato a riservatezza, integrità e disponibilità, indicando al contempo che lo sfruttamento oltrepassa un confine di ambito di sicurezza.

Secondo CVSS v4.0, la vulnerabilità ha una valutazione 9,2, Critica:

CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:H/SA:H

I due sistemi di valutazione modellano le conseguenze in modo diverso, ma entrambi identificano un rischio grave per i dati di engineering protetti e per l’ambiente operativo connesso.

Il solo aggiornamento non costituisce una correzione completa

Le istruzioni di correzione di Mitsubishi Electric combinano un aggiornamento software con un’impostazione di sicurezza a livello di progetto. Gli amministratori dovrebbero completare entrambi i passaggi per il prodotto interessato.

Per GX Works3, i clienti dovrebbero:

1. Installare la versione 1.096A o successiva dal portale di download del software di Mitsubishi Electric.
2. Impostare la versione di sicurezza del progetto su “2”.
3. Seguire la sezione 15.9, “Preventing Illegal Access to/Falsification of Data (Security Version),” del GX Works3 Operating Manual.

Per Motion Control Settings, i clienti dovrebbero:

1. Installare la versione 1.070Y o successiva.
2. Impostare la versione di sicurezza del progetto su “2”.
3. Seguire la sezione 12.5, “Preventing Illegal Access to/Falsification of Data (Security Version),” di Motion Control Setting Function Help.

Le procedure specifiche per prodotto sono documentate anche nell’avviso di sicurezza Mitsubishi Electric 2026-007.

Le organizzazioni dovrebbero censire sia le installazioni autonome di GX Works3 sia i sistemi che contengono il software Motion Control Settings incluso nel pacchetto. Controllare soltanto la versione visibile di GX Works3 potrebbe lasciare senza aggiornamento il componente associato o la configurazione di sicurezza del progetto.

Le modifiche dovrebbero essere sottoposte innanzitutto a un’analisi dell’impatto operativo e del rischio. Negli ambienti industriali, gli aggiornamenti del software di engineering e le modifiche alle impostazioni dei progetti potrebbero richiedere test controllati prima della distribuzione sulle workstation di produzione.

Limitare l’accesso alle workstation riduce il percorso di attacco

Poiché lo sfruttamento richiede l’esecuzione locale e la modifica della memoria, l’accesso al computer di engineering rappresenta il principale confine di sicurezza.

Mitsubishi Electric raccomanda di utilizzare i sistemi interessati all’interno di una LAN e di bloccare gli accessi remoti provenienti da reti, host e utenti non affidabili. Quando una workstation di engineering richiede connettività a Internet o amministrazione remota, l’accesso dovrebbe passare attraverso firewall, VPN o controlli equivalenti e rimanere limitato al personale autorizzato.

Il fornitore raccomanda inoltre di:

• Bloccare o scoraggiare l’accesso ai collegamenti ricevuti tramite messaggi non affidabili.
• Impedire agli utenti di aprire allegati email non affidabili.
• Installare software antivirus sui computer che eseguono i prodotti interessati.
• Limitare l’accesso fisico alle workstation di engineering.
• Limitare l’accesso alle apparecchiature di rete e agli altri computer in grado di comunicare con tali sistemi.

CISA consiglia alle organizzazioni di evitare di esporre direttamente Internet i dispositivi di controllo industriale. Le reti di controllo e i dispositivi remoti dovrebbero trovarsi dietro firewall e rimanere separati dagli ambienti aziendali.

Le VPN possono offrire un canale di accesso remoto più sicuro, ma non eliminano i rischi a livello degli endpoint. Anche l’infrastruttura VPN e ogni workstation connessa devono essere aggiornate e adeguatamente protette.

La segmentazione della rete è particolarmente rilevante in questo caso. Un attaccante che compromette un normale endpoint aziendale non dovrebbe ottenere automaticamente un percorso verso la workstation utilizzata per modificare la logica di controllo.

Nessun indicatore di sfruttamento è stato pubblicato

Per CVE-2026-15688 non sono stati divulgati hash di malware, artefatti di processo, firme nella memoria o altri indicatori di compromissione. Non sono inoltre disponibili segnalazioni che dimostrino lo sfruttamento della vulnerabilità in attacchi.

Quando sono disponibili dati di telemetria pertinenti, i difensori dovrebbero verificare la presenza di accessi interattivi o remoti non autorizzati alle workstation di engineering, esecuzioni inattese di componenti GX Works3, manipolazioni sospette della memoria dei processi e modifiche inspiegabili ai progetti di controllo. Le modifiche ai progetti dovrebbero essere confrontate con le attività di engineering approvate e con backup attendibili.

L’avviso disponibile non identifica CVE-2026-15688 come voce del catalogo Known Exploited Vulnerabilities di CISA. Di conseguenza, non è nota alcuna data di inserimento nel catalogo KEV né alcuna scadenza federale per la correzione. Non sono state divulgate informazioni sull’inserimento recente di vulnerabilità Mitsubishi Electric nel catalogo KEV in relazione a questo problema.

La vulnerabilità è stata segnalata a Mitsubishi Electric da Mayeul Fargier, Erwan Cordier e Noé Flatreaud. La pubblicazione di CISA è una ripubblicazione diretta dell’avviso CSAF del fornitore, realizzata per aumentarne la visibilità.

Per i proprietari degli asset, le priorità immediate sono chiare: aggiornare alle release indicate, impostare la sicurezza del progetto sulla versione “2”, limitare l’accesso alle workstation di engineering e verificare che i programmi di controllo protetti non siano stati modificati senza autorizzazione.