A CISA publicou o alerta ICSA-26-300-02 para uma cadeia de vulnerabilidades nos produtos Mitsubishi Electric e Mitsubishi Electric Iconics Digital Solutions usados em ambientes de automação e manufatura. O conjunto inclui falhas que podem permitir execução arbitrária de código, bypass de autenticação e operações arbitrárias sobre o sistema.
O alerta envolve as famílias GENESIS, GENESIS64, ICONICS Suite, Hyper Historian, AnalytiX, MobileHMI, IoTWorX, MC Works64, GENESIS32 e BizViz. A CISA informa que a exploração bem-sucedida pode levar à divulgação, alteração, destruição ou exclusão de informações e a uma condição de negação de serviço. O CVSS informado para o conjunto chega a 9,1.
Quais são as vulnerabilidades
A CVE-2023-4863 é uma falha de escrita fora dos limites que afeta determinadas versões do GENESIS64 e do ICONICS Suite. O impacto indicado no advisory inclui execução arbitrária de código.
A CVE-2026-16436 e a CVE-2026-16437 estão associadas a problemas de recuperação de senha e autenticação. Em determinadas condições, um atacante pode contornar a autenticação e obter acesso não autorizado ao ambiente.
A CVE-2026-16438 envolve atribuição incorreta de privilégios e pode permitir operações arbitrárias. Dependendo da aplicação e das permissões do processo, isso pode resultar em alteração, exclusão ou destruição de informações e interrupção do serviço.
Em uma rede industrial, o impacto não fica limitado ao computador que executa a aplicação. O sistema pode concentrar dados de supervisão, históricos, configurações de processo, telas operacionais e integrações com outros componentes da rede OT.
Produtos e versões afetadas
O alerta da CISA lista várias combinações de produtos e versões:
- GENESIS64 e ICONICS Suite: versões 10.97 até 10.97.2 para a CVE-2023-4863;
- GENESIS: versões até 11.03 para as CVEs de 2026;
- GENESIS64, ICONICS Suite, Hyper Historian, AnalytiX e MobileHMI: versões até 10.97.3;
- IoTWorX: versões até 10.97.3;
- MC Works64, GENESIS32 e BizViz: todas as versões listadas no advisory para as CVEs de 2026.
O inventário precisa considerar tanto a aplicação principal quanto componentes instalados como parte da ICONICS Suite. O fato de um produto aparecer com outro nome comercial não significa que esteja fora do escopo. Confirme o build, a edição e o pacote instalado com o fabricante ou integrador.
Correções disponíveis
Para GENESIS64, ICONICS Suite, Hyper Historian, AnalytiX e MobileHMI, a Mitsubishi Electric indica a versão 10.98 ou posterior como corrigida. Para GENESIS, a versão corrigida indicada é a 11.04 ou posterior.
Os pacotes devem ser obtidos nos canais oficiais da Mitsubishi Electric ou da ICONICS. Antes de atualizar, faça backup das configurações, documente dependências, confirme a compatibilidade com o sistema operacional e planeje uma janela de manutenção. Em ambientes de manufatura, teste primeiro em homologação ou em um sistema representativo que não controle uma operação crítica.
Depois da atualização, valide login, recuperação de senha, permissões, telas HMI, históricos, alarmes, integrações, comunicação com dispositivos e mecanismos de redundância.
Mitigações para quem não pode atualizar imediatamente
A CISA e os fabricantes recomendam que os computadores afetados permitam login somente de administradores. Mantenha-os na LAN, bloqueie login remoto de redes e hosts não confiáveis e não exponha diretamente os serviços à internet.
Quando o acesso remoto for indispensável, use firewall e VPN atualizada. Permita o acesso somente para administradores e a partir de origens previamente autorizadas. A VPN reduz a exposição, mas não substitui a correção do produto nem transforma uma conta comprometida em uma conta confiável.
Restrinja também o acesso físico ao computador e à rede conectada. Não use a estação de engenharia para navegação cotidiana, e-mail ou abertura de anexos não confiáveis. Instale e mantenha uma solução antivírus compatível com os requisitos do ambiente industrial.
Proteção adicional do arquivo de desafios
Para alguns produtos que não possam ser corrigidos imediatamente, o advisory descreve uma mitigação específica para o arquivo de desafios de segurança. Em instalações da versão 10, o caminho indicado é C:\Program Files\ICONICS\GENESIS64\Components\ClientChallengeTable.dat. Em instalações da versão 11, é C:\ProgramData\ICONICS\11\SecurityChallenges.dat.
O procedimento recomendado é excluir o arquivo, criar um arquivo vazio com o mesmo nome e caminho e restringir a escrita e a exclusão a uma conta administrativa exclusiva, diferente da conta administradora do GENESIS. Não aplique essa alteração sem confirmar a versão, o produto e o procedimento do fornecedor, pois mudanças incorretas podem interromper autenticação ou operação.
Como investigar sinais de abuso
Revise logins administrativos, tentativas de recuperação de senha, alterações de papéis, criação de usuários, mudanças em arquivos de configuração e conexões de origem inesperada. Correlacione os registros do GENESIS ou ICONICS com eventos do Windows, firewall, VPN, antivírus e estações de engenharia.
Procure processos novos, arquivos alterados, tarefas agendadas e conexões de saída incomuns. Compare configurações com uma cópia conhecida e confiável. Se houver suspeita de execução de código ou bypass de autenticação, isole o equipamento de forma coordenada com a operação e preserve evidências antes da reinstalação.
Também é importante verificar se credenciais, arquivos de projeto, históricos ou compartilhamentos acessíveis pelo computador foram expostos. Após a contenção, altere senhas e chaves que possam ter sido lidas ou usadas pelo sistema comprometido.
Cuidados para ambientes de manufatura
Uma atualização de segurança em um sistema industrial precisa considerar disponibilidade, segurança operacional e continuidade de produção. Faça uma análise de impacto antes de bloquear acessos ou reiniciar componentes. Mantenha um plano de retorno e uma forma segura de operar o processo caso a estação de supervisão fique indisponível.
Segmente a rede OT da rede corporativa, limite as portas expostas e use jump servers administrados. Evite que uma estação de engenharia comprometida alcance todos os dispositivos da planta. O princípio de menor privilégio deve ser aplicado tanto às contas humanas quanto aos serviços executados pelas aplicações.
Conclusão
As vulnerabilidades do alerta ICSA-26-300-02 afetam um conjunto amplo de produtos Mitsubishi Electric e ICONICS. A combinação de execução de código, bypass de autenticação e operações arbitrárias pode comprometer dados e disponibilidade em ambientes de manufatura crítica.
Atualize GENESIS64, ICONICS Suite, Hyper Historian, AnalytiX e MobileHMI para a versão 10.98 ou posterior e GENESIS para 11.04 ou posterior, conforme aplicável. Até a manutenção, restrinja logins, segmente a rede, bloqueie acessos remotos não confiáveis, proteja arquivos de desafios e monitore sinais de abuso.
Fontes primárias
CISA: ICSA-26-300-02 — Mitsubishi Electric and Mitsubishi Electric Iconics Digital Solutions products.
Mitsubishi Electric PSIRT: Advisory 2026-006.
ICONICS: Security advisories and certifications.