9月1日、11日、15日に起きたこと

2026年9月1日、米CISA（サイバーセキュリティ・インフラセキュリティ庁）は産業制御システム向けのセキュリティアドバイザリを8件まとめて公開しました。うち7件がRockwell Automation製品で、PLCのLogixプラットフォーム、通信ソフトRSLinx Classic、ライセンス管理のFactoryTalk Activation Manager、データ収集用のHistorian MEなどが並びます。FactoryTalk Activation ManagerはV5.02以前にSYSTEM権限を奪取される欠陥（CVE-2026-16675、CVSS v3.1で7.8）があり、修正版はV5.03です。Historian MEには低い権限の認証だけで遠隔コード実行に至る欠陥（CVE-2025-12768、同8.0）が報告されました。どちらもMESの足元にある製品です。

10日後の9月11日、EUのサイバーレジリエンス法（CRA）のうち、脆弱性とインシデントの報告義務が適用されました。同じ日にENISA（EUサイバーセキュリティ機関）は報告窓口となるSingle Reporting Platform（SRP）の初期運用を始めています。

そして9月15日、Rockwell AutomationはAnthropicが主導するProject Glasswingへの参加を発表しました。同社のプレスリリースによると、Claude Mythos 5への管理されたアクセスを通じて、ソフトウェアと接続システム全体で脆弱性の発見・検証・優先順位付け・修正を速める取り組みです。

2026年9月1日のCISAアドバイザリ、9月11日のCRA報告義務開始、9月15日のRockwellのProject Glasswing参加を時系列で示し、いずれもMESユーザーのパッチ受け入れに流れ込むことを示す図 9月1日 9月11日 9月15日 CISAがICS勧告8件 うち7件がRockwell （既存の開示の流れ） CRA報告義務が適用 ENISAのSRPが稼働 （知らせる義務） Rockwellが Project Glasswingに参加 （見つける速さ） MESユーザーのパッチ受け入れ 評価・検証・変更窓・適用記録
2026年9月の3つの出来事。発見側と報告側が同時に動き、パッチを受け取るMESユーザー側に負荷が集まる構図になった。

3つは別々の出来事で、9月1日の勧告がAIによる発見の成果だという情報はありません。ただ、並べると向きがそろっています。ベンダーから工場へ流れてくる脆弱性情報は、今後増えることはあっても減る理由が見当たりません。

発見が速くなると、詰まる場所はユーザー側に移る

Project Glasswingは2026年4月に始まり、Anthropicが6月2日に公表した拡大発表では、当初約50の参加組織が見つけた深刻度「高」「緊急」の欠陥は1万件を超えたとされています。このときの拡大で電力・水道・医療・通信・ハードウェアの分野から約150組織、15カ国以上が加わりました。Rockwellはこの拡大後の枠組みに加わった形です。

Anthropic自身はこの発表で「サイバーセキュリティのボトルネックは、大量の脆弱性を検証し、開示し、パッチを当てることに移った」と書いています。見つける側が、直す速さの不足を認めた格好です。セキュリティ企業ProCircularのJim Sherlock氏はHelp Net Securityの取材に対し、ベンダーからのアドバイザリが「変更窓（change window）の想定を超える量と速さで届く」と予告しています。

この指摘は、ITよりも工場のほうが重く響きます。MESのサーバーやクライアント、ヒストリアン、ライセンスサーバーは、ライン停止を伴わずに再起動できるとは限りません。医薬品や医療機器の工場なら、バリデーション済み構成を変える手続きも要ります。年に1〜2回の定期停止にまとめて当てる運用は、脆弱性の件数が少ない前提で成り立っていました。

CRAは「知らされる」側のMESユーザーにも効く

CRAの報告義務を負うのは「デジタル要素を持つ製品」の製造者、つまりMESや制御機器のベンダーです。欧州委員会の説明による報告の段取りは次のとおりです。

段階期限内容
早期警告認識から24時間以内悪用されている脆弱性・重大インシデントをSRP経由でCSIRTへ
通知認識から72時間以内詳細な通知
最終報告（脆弱性）修正・緩和策が利用可能になってから14日以内対応内容を含む最終報告
最終報告（インシデント）72時間通知から1カ月以内同上

MESユーザーにとって大きいのは2点です。1つは、CRA第14条8項がベンダーに対して、影響を受けるユーザーへ脆弱性とリスク低減策・修正策を知らせるよう求めていることです。もう1つは、法律事務所Hogan Lovells Cadwaladerの解説によれば、この報告義務がCRAの全面適用前にEU市場へ出た既存製品にも及ぶことです。EU域内に工場を持つ日系製造業は、使っている古い版のMESについてもベンダーから通知を受ける側に立ちます。

一方で、EU向けに装置やソフトウェアを出荷している日本の装置メーカー・SIerは、製造者として報告する側に回る可能性があります。NIS2とCRAの対象範囲の違いはNIS2とCRAの解説記事で整理しています。主要義務の適用は2027年12月11日で、今回始まったのは報告義務の部分だけです。

パッチを「年1回の工事」から「流量の管理」に変える

受け取る件数が増えるなら、1件ごとに会議を開く運用では持ちません。サオスがMES導入・保守の現場で見てきた範囲では、次の4つを先に決めておくと、通知が届いてから迷う時間が減ります。

最初に要るのは、どの版の何が動いているかの台帳です。MES本体だけでなく、ライセンス管理、ヒストリアン、OPCサーバー、帳票エンジンのような周辺ソフトまで版番号で押さえます。9月1日の勧告でいえば、FactoryTalk Activation Managerのようなライセンス管理ソフトはMESの一部として意識されにくい一方で、SYSTEM権限を取られれば影響は工場全体に及びます。

次に、トリアージの基準を事前に文書化しておきます。CRAの報告対象になる「悪用されている脆弱性」か、ネットワーク的に到達できる位置にあるか、代替の緩和策（通信遮断、アカウント制限）で時間を稼げるか。この3つで、臨時停止を取るもの、次の定期停止に回すもの、緩和策で運用するものに振り分けます。考え方はIEC 62443の記事で扱ったゾーンとコンジットの設計がそのまま使えます。

3つ目は、規制産業の再バリデーションの範囲です。FDAのCSA（Computer Software Assurance）最終ガイダンスはリスクに比例した検証を認めており、セキュリティパッチのたびに全機能を再試験する必要はありません。パッチの種類ごとに検証の型を決めておけば、判断は速くなります。背景はFDA CSA最終ガイダンスの記事にあります。

4つ目が保守契約です。MESユーザーの46%がインシデントを経験している記事でも触れたとおり、パッチ適用後の動作保証や再バリデーションの判断材料をベンダーが出す契約になっていないと、現場は「当てない」に流れます。

ベンダー各社の対応はまだ横並びではない

MES製品を持つ産業オートメーション大手でProject Glasswingへの参加を公表したのは、本誌が9月27日時点で確認できた範囲ではRockwellだけです（非公表の参加の有無は分かりません）。Rockwellの製品セキュリティ責任者Tony Baker氏はプレスリリースで「高度なAI能力を管理された防御的な方法で適用し、脆弱性をより速く特定し対処する」と述べています。同社のMES製品群はRockwell Automation（Plex／FactoryTalk）の製品ページにまとめています。

ここから先は推測です。AIを使った探索に参加したベンダーは、短期的にはアドバイザリの件数が増えるはずです。件数の多さをそのまま製品の弱さと受け取ると、真剣に探しているベンダーほど不利に見える逆転が起きます。ベンダー比較でセキュリティを評価するなら、アドバイザリの件数よりも、公開から修正版提供までの日数、通知の機械可読性、既存版へのバックポート方針を聞くほうが実態に近づきます。CRAの報告義務が既存製品にも及ぶ以上、この差は2027年12月の全面適用を待たずに表に出てくると見ています。

CRAの報告義務はMESを使っている製造業（ユーザー）にも課されますか？

CRAの報告義務を負うのは製品の製造者で、MESを自社工場で使うだけのユーザーには課されません。ただし製造者は影響を受けるユーザーへの通知を求められるため、ユーザーは通知を受け取って対応する側に立ちます。工場の運用に対する報告義務はNIS2の領域で、別に確認が必要です。

Project Glasswingに参加していないベンダーのMESは危険ですか？

参加の有無で製品の安全性は判断できません。AIによる探索は脆弱性を見つける手段の1つで、各社は独自の診断や外部研究者からの報告も受けています。比較すべきは、脆弱性が見つかったあとの修正速度と通知の質です。

日本国内の工場だけで使っているMESにも関係がありますか？

CRAはEU市場の製品に対する規制なので、国内工場だけならCRAの直接の対象ではありません。ただしグローバル製品のMESであれば、EU向けに発行されたアドバイザリと修正版は国内版にも共通するのが一般的です。発見の加速は地域を選ばないため、パッチ受け入れ体制の見直しは国内工場にも当てはまります。

この記事に出てくる用語

MES用語集（日・英・中）をすべて見る

この記事のテーマ
#セキュリティ#規制対応#運用保守#欧米動向
この特集について

規制がMESに求めるもの

FDA CSA、EU GMP Annex 22、DPP。規制の改訂はそのままMESの要件になる　全73本

  1. GAMP 5とは？コンピュータ化システムを検証する業界標準ガイド
  2. Tulipの10月6日発表を想定工場の1時間に置く──7つの新機能はどの場面に効くか
  3. ISO 9001の要求事項をMESに写像する、品質マネジメント電子化の設計図
  4. ライフサイエンス企業の54%が1年内にサイバー攻撃、Rockwellが「常時査察対応」を提言（2026年10月）
特集の記事をすべて見る →

この記事を書いた人

株式会社サオス

株式会社サオス MESソリューション部

DELMIA Apriso を中核とした MES / 製造DX の導入・運用・人材育成を手がけるITコンサルティング企業。ISO 9001:2015 / ISO 27001:2022 認証取得。 日本・中国・米国で製造業のMES導入を手がけた実務者が、欧米・中国の一次情報にあたって書いています。

運営者情報　編集方針　株式会社サオスのサイト