工业组态软件的补丁节奏，往往落后于攻击者的耐心。三菱电机 10 月 15 日公告，修复 ICONICS Suite 及 GENESIS64 等产品线的四个漏洞，最高 CVSS 4.0 评分 9.4；同时明确 MC Works64、GENESIS32、BizViz 三条老产品线不会获得补丁。
事件概述
受影响产品包括 ICONICS Suite、GENESIS64、GENESIS、Hyper Historian、AnalytiX、MobileHMI、IoTWorX，以及停止维护的 MC Works64、GENESIS32、BizViz。这些软件承担工业现场的监控画面、历史数据采集与人机界面功能，部署位置通常紧邻 PLC 与 SCADA。
四个漏洞为 CVE-2026-16438、CVE-2023-4863、CVE-2026-16436、CVE-2026-16437。厂商未公布装机数量，也未确认新漏洞的在野利用；其中 libwebp 缺陷属第三方库历史问题，已有公开利用记录。
技术细节
四个缺陷的性质差别很大，处置优先级也不同：
- CVE-2026-16438（CVSS 4.0 9.4，CWE-266）：安装程序给产品管理员账户授予了不必要的默认 DCOM 权限，持有该账户的攻击者可启动本应触发 UAC 提权的 DCOM 对象；
- CVE-2023-4863（9.3，CWE-787）：内置 libwebp 存在堆越界写，影响 GENESIS64 与 ICONICS Suite 10.97 至 10.97.2，本地管理员导入特制文件即可执行任意代码；
- CVE-2026-16436（9.2，CWE-640）：用于解锁系统的挑战应答值是固定值，且所有用户共用，任何远程攻击者只要获知该值即可解锁；
- CVE-2026-16437（7.1）：本地管理员可读取并修改存放挑战应答的管理文件。
把四条串起来看，路径相当直接：先拿到一个产品管理员账户，用 DCOM 权限或恶意文件完成本地提权；或利用那个全局固定的解锁值跳过认证。厂商列出的影响包括数据被窃取、篡改、删除，以及系统拒绝服务。
影响评估
工业监控软件的价值不在数据本身，而在它呈现的画面。攻击者一旦能改动画面上的温度、压力、液位读数，操作员就会基于错误信息做判断，这类后果比数据泄露更难追溯。同批缺陷也允许直接操纵系统操作，而不只是读取。
更棘手的是补丁覆盖不完整。MC Works64、GENESIS32、BizViz 三条线不再修复，厂商建议迁移到 GENESIS64 或 GENESIS；仍在跑这些产品的现场，等于长期带着已知缺陷运行。固定挑战应答还意味着，只要该共享值在项目文档或旧邮件里出现过，相关系统就应视为已失守。
修复建议
能升级的先升级：libwebp 缺陷在 ICONICS Suite 10.97.3 修复，其余三个在 ICONICS Suite、IoTWorX 10.98 与 GENESIS 11.04 修复。无法升级的按厂商缓解措施执行：
- 用防火墙与 VPN 把组态服务器限制在受控网段，禁止直接暴露；
- 把 ChallengeTable.dat、SecurityChallenges.dat 置空并限制写权限；
- 收紧产品管理员账户的 DCOM 启动与访问权限，移除不必要的远程调用；
- 禁止在组态服务器上打开来源不明的图片与工程文件，libwebp 缺陷依赖文件导入触发；
- 排查历史登录与解锁记录，确认固定挑战值是否被外部使用。
中长期动作是把三条停更产品线列入迁移计划，并为 OT 资产建立版本台账——没有补丁的系统只能靠隔离争取时间。