粒子加速器や核融合実験などの制御に使われるオープンソースのソフトウェア群「EPICS」の中核部分「EPICS Base」に、脆弱性4件が見つかった。米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は2026年10月27日に注意喚起（ICSA-26-300-01）を公開し、修正版の7.0.11に更新するよう呼びかけている。4件はセキュリティ企業Causal SecurityのAIエージェント「Cipher」が発見したもので、所要時間は3時間49分だったという。
4件の脆弱性の内容
CISAによると、影響を受けるのはEPICS Base 7.0.10以前のバージョン。4件はいずれもネットワーク経由で受け取るメッセージの処理に関するもので、最も深刻なものは遠隔からのコード実行につながるおそれがある。
- CVE-2026-114595（CVSS v3.1：9.8、重大）：ネットワーク要求の処理で整数オーバーフローが起き、誤ったサイズのメモリが割り当てられる。メモリ破壊やサービス停止、遠隔からのコード実行につながるおそれがある。
- CVE-2026-114596（8.2、高）：通信の解析時にメッセージ長の検証が不十分で、メモリの範囲外に書き込みが起きる。プロセスが不安定になったり停止したりするおそれがある。
- CVE-2026-114597（7.5、高）：長さの値の検証が不十分で、バッファの範囲外を読み取る。サービス停止や、隣接するメモリの内容が漏れるおそれがある。
- CVE-2026-114598（7.5、高）：型の取り違え（タイプコンフュージョン）により範囲外の読み取りが起きる。影響はCVE-2026-114597と同様。
CISAは、これらの脆弱性を狙った公の悪用は報告されていないとしている。
AIエージェントが自律的に発見
英The Registerの記事（ScanNetSecurityが翻訳掲載）によると、Causal Securityの共同創業者シュバム・ラージ氏は、4件はそれまで知られていなかった脆弱性で、Cipherが自律的に発見したと説明した。初めて扱うEPICSの調査から、4件の攻撃手法が実際に有効かどうかの確認までを3時間49分で終えたという。人間が出した指示は、安全な環境でより踏み込んだテストを行うことを許可する1回だけだったとしている。
影響と背景
EPICSは、世界の大型研究施設で装置の監視や制御に使われてきた。CISAは対象分野を「重要製造業」としている。制御システムは更新に装置の停止を伴うことが多く、修正版が出てもすぐに適用できない場合がある。
AIを使った脆弱性探しの速さは、これまでも注目されてきた。当サイトでも、日立がAIで脆弱性を短時間で発見した事例を伝えている。守る側にとっては、脆弱性が見つかってから攻撃に使われるまでの時間がさらに短くなることを前提に、更新の手順を見直す必要がある。
対策
- EPICS Base 7.0.11への更新：7.0.10以前を使っている場合は、修正版に更新する。
- ネットワークへの露出を減らす：CISAは、制御システムをインターネットから直接到達できないようにし、ファイアウォールの内側に置いて業務用ネットワークと分けるよう求めている。
- 遠隔接続の管理：外部から接続する場合は、最新の状態に保ったVPNなど安全な方法を使う。
CSRIからのアドバイス
【押さえるべきポイント】工場や研究施設の制御機器は、「インターネットにはつながっていない」と思われていても、保守用の遠隔接続や業務用ネットワーク経由で外からたどり着ける状態になっていることがある。脆弱性への対応は、まず自社の機器がどこから到達できるかを確かめるところから始まる。
【平易な解説】今回の件は、建物の古い鍵の弱点を、AIが数時間で見つけてしまったようなものだ。鍵を見つける速さが上がった以上、弱点が知られてから鍵を交換するまでの時間を短くしなければ、守り切れなくなる。
【今週中にできること】まず、制御機器や装置を操作するソフトウェアの一覧と、それぞれのバージョンを確認する。次に、保守業者が遠隔で接続している経路がないかを担当者や業者に聞き、使っていない経路があれば止める。