Mitsubishi Electric GENESIS: Schwacher Passwort-Wiederherstellungsmechanismus
Zusammenfassung
Mehrere industrielle Automatisierungs- und SCADA/HMI-Produkte von Mitsubishi Electric und ICONICS verwenden einen Passwort-Wiederherstellungsmechanismus mit einer festen Challenge-Response, die allen Benutzern gemeinsam ist. Ein entfernter Angreifer, der diese Response erlangt, kann das System entsperren und Informationen offenlegen, manipulieren oder löschen oder einen Denial-of-Service-Zustand herbeiführen. Der CVSS-v4-Basiswert beträgt 9.2 (kritisch), und CISA stuft die Ausnutzung als nicht beobachtet und die Automatisierbarkeit als nein ein.
Betroffen
- GENESIS 11.03 und älter
- GENESIS64, ICONICS Suite, Hyper Historian, AnalytiX, MobileHMI und IoTWorX 10.97.3 und älter
- MC Works64, GENESIS32 und BizViz: alle Versionen
- Genaue Versionsbereiche sind im Hersteller-Advisory zu bestätigen.
Behoben in
- GENESIS: Korrektur in Version 11.04 oder neuer (Sekundärquelle, im Hersteller-Advisory prüfen)
- GENESIS64, ICONICS Suite, Hyper Historian, AnalytiX, MobileHMI, IoTWorX: Unbekannt.
- MC Works64, GENESIS32, BizViz: Keine Korrektur durch den Hersteller geplant.
Umgehung
- Keine vom Hersteller freigegebene Workaround-Massnahme für die Schwachstelle in der Passwort-Wiederherstellung bekannt.
- Der Hersteller empfiehlt Antivirensoftware auf dem betroffenen PC; dies behebt die Schwachstelle nicht und ist nur eine schwache Übergangsmassnahme.
- Für Produkte ohne Korrektur: Systeme von unsicheren Netzen isolieren, Zugriff auf Engineering- und HMI-Hosts einschränken und für Fernzugriffe eine Firewall oder ein VPN mit MFA verwenden.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn; zum Zeitpunkt der Recherche nicht im CISA KEV gelistet.
- Kein öffentlicher Proof-of-Concept gefunden.
- Der EPSS-Wert ist niedrig.
Unsere Empfehlung
- Alle Systeme mit den aufgelisteten Produkten inventarisieren und deren Exposition gegenüber Internet und Fernzugriff prüfen.
- GENESIS auf Version 11.04 oder neuer aktualisieren und die übrigen Korrekturen dem Hersteller-Advisory 2026-006 entnehmen.
- Migration für MC Works64, GENESIS32 und BizViz planen, da keine Korrektur vorgesehen ist.
- Netzwerkzugriff auf diese Systeme einschränken und auf ungewöhnliche Zugriffe und Änderungen überwachen; CISA KEV und die Herstellerseite auf Updates prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Mitsubishi Electric Security Advisory 2026-006 www.mitsubishielectric.com
- CISA ICS Advisory ICSA-26-300-02 www.cisa.gov
- NVD record via Vulners vulners.com
- Vulnrichment EPSS data via Vulners vulners.com
- Security Boulevard daily OT security news, 28 Oct 2026 securityboulevard.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 04:23.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.