En bref

  • Mitsubishi Electric publie l'advisory PSIRT 2026-006 le 15 octobre 2026 : trois CVE critiques dans les suites SCADA/HMI ICONICS et GENESIS64, déployées dans des milliers d'installations industrielles mondiales.
  • CVE-2026-16438 (CVSS v4 9.4) expose un contournement d'authentification via DCOM ; CVE-2026-16436 (CVSS v4 9.2) permet un accès non authentifié au mécanisme de récupération de mot de passe via un challenge response fixe partagé entre toutes les installations.
  • Des correctifs existent pour ICONICS Suite 10.98+ et GENESIS 11.04+. Les produits legacy MC Works64, GENESIS32 et BizViz ne seront pas patchés : migration requise.

Les faits

Le 15 octobre 2026, Mitsubishi Electric a publié son advisory de sécurité PSIRT 2026-006, coordonné avec la CISA qui a publié l'avis ICS ICSA-26-302-01 correspondant. Cet advisory couvre trois nouvelles CVE affectant les logiciels SCADA/HMI de la gamme ICONICS et GENESIS, largement déployés dans les secteurs de l'énergie, de la manufacture, des eaux et des transports à l'échelle mondiale.

La vulnérabilité la plus sévère est CVE-2026-16438, notée CVSS v4 9.4. Elle exploite les permissions DCOM (Distributed Component Object Model) par défaut accordées au compte administrateur dans ICONICS Suite et GENESIS64. Un attaquant disposant d'un accès réseau à un poste de travail ou serveur HMI peut utiliser ces permissions DCOM pour exécuter des appels à distance avec des privilèges élevés, en contournant les contrôles d'authentification applicatifs. Dans le contexte industriel, cela peut se traduire par la manipulation de valeurs de process, la désactivation d'alarmes ou l'envoi de commandes à des équipements de terrain.

La deuxième vulnérabilité, CVE-2026-16436, est évaluée à CVSS v4 9.2. Elle réside dans le mécanisme de récupération de mot de passe de la suite ICONICS. La faille tient à un challenge response fixe, identique pour tous les utilisateurs de toutes les installations. Un attaquant qui a capturé une seule valeur de challenge response légitime (par exemple via un accès physique passé, une fuite de documentation ou un accès à n'importe quelle autre installation ICONICS) peut l'utiliser pour s'authentifier sans connaître le mot de passe réel sur n'importe quel système exposé dans le monde.

La troisième, CVE-2026-16437, est notée CVSS v4 7.1 et est locale (LV:L). Elle permet à un administrateur local de lire et modifier le fichier qui stocke la valeur de challenge response, facilitant ainsi la préparation d'une attaque CVE-2026-16436 en environnement préalablement compromis.

L'advisory inclut également CVE-2023-4863, la vulnérabilité libwebp out-of-bounds write historique (CVSS 8.8 à 9.3 selon les sources), qui affecte les composants ICONICS embarquant une version non patchée de la bibliothèque WebP. Cette CVE est listée dans le catalogue KEV de la CISA comme activement exploitée dans d'autres contextes — ce qui en fait un vecteur de compromission réaliste si les suites ICONICS l'embarquent sans correctif.

Les produits affectés couvrent un périmètre large : GENESIS 11.03 et versions antérieures, GENESIS64 10.97.3 et versions antérieures, ICONICS Suite 10.97.3 et versions antérieures, ainsi que Hyper Historian, AnalytiX, MobileHMI et IoTWorX dans les mêmes fourchettes. Ces produits sont présents dans des secteurs classés opérateurs d'importance vitale (OIV) en France : production d'énergie, traitement de l'eau, lignes de fabrication automobile et pharmaceutique.

Point critique pour les équipes OT : Mitsubishi Electric a confirmé qu'il ne publiera pas de patch pour les produits legacy MC Works64, GENESIS32 et BizViz. La seule mitigation recommandée pour ces installations est la migration vers GENESIS64 ou GENESIS, ce qui représente un projet de plusieurs mois dans un contexte industriel où les arrêts de production sont coûteux et planifiés longtemps à l'avance.

La fenêtre d'exposition est particulièrement préoccupante pour les installations avec une séparation réseau IT/OT insuffisante. Selon le rapport ANSSI sur la cybermenace 2025 (CERTFR-2026-CTI-002 publié le 11 mars 2026), les attaques ciblant les systèmes de contrôle industriel ont augmenté de 34% en France en 2025. L'exploitation de vulnérabilités dans des HMI SCADA a été identifiée comme vecteur initial dans plusieurs incidents ayant touché des installations classées.

Impact et exposition

Toute installation ICONICS Suite ou GENESIS64/GENESIS en version 10.97.3 ou 11.03 ou antérieure est exposée. L'impact maximal (CVE-2026-16438 et CVE-2026-16436) est exploitable depuis le réseau sans authentification préalable. Les environnements sans segmentation réseau stricte entre IT et OT sont particulièrement vulnérables. Les produits non patchables (MC Works64, GENESIS32, BizViz) représentent un risque résiduel permanent tant que la migration n'est pas réalisée.

Recommandations

  • Immédiat : mettre à jour ICONICS Suite vers la version 10.98 ou GENESIS vers 11.04 pour les systèmes maintenus.
  • Isoler les postes HMI sur un réseau OT dédié, sans accès direct depuis le réseau bureautique ou Internet.
  • Désactiver ou restreindre les permissions DCOM sur les postes ICONICS/GENESIS selon les recommandations de l'advisory PSIRT 2026-006.
  • Pour les produits legacy non patchables (MC Works64, GENESIS32, BizViz) : renforcer la segmentation réseau, appliquer une liste blanche d'accès stricte et planifier une migration vers une version supportée.
  • Consulter l'advisory CISA ICS ICSA-26-302-01 pour les signatures de détection et les indicateurs de compromission associés.

Comment identifier rapidement les installations ICONICS/GENESIS non patchées dans mon périmètre OT ?

Depuis votre console de gestion des actifs OT (Claroty, Dragos, Nozomi ou équivalent), filtrez les assets par type HMI/SCADA et fabricant ICONICS ou Mitsubishi Electric. Vérifiez ensuite la version du logiciel dans les propriétés de chaque asset. Pour les installations sans outil de découverte automatisée, un audit manuel des postes opérateurs avec vérification via Aide > À propos dans l'interface ICONICS reste la méthode de référence. Comparez la version identifiée aux seuils 10.98 (ICONICS Suite) et 11.04 (GENESIS).

Votre infrastructure est-elle exposée ?

Ayi NEDJIMI réalise des audits de sécurité ciblés pour identifier et corriger vos vulnérabilités avant qu'elles ne soient exploitées.

Demander un audit