CISA警告：Güralp FMUS地震観測機器に重大な脆弱性（CVE-2025-8286）

CISAは産業用制御システム（ICS）勧告 ICSA-25-212-01 を2025年7月31日に公開し、Güralp Systems社のFMUSシリーズ地震観測機器に存在する重大な脆弱性を警告しました。この脆弱性は CVE-2025-8286 として追跡されており、CVSS v3.1で9.8（CVSS v4.0で9.3）と評価される、重要機能における認証欠如（CWE-306）の典型例です。

Telnet越しの開いた扉

影響を受ける機器は、 認証不要のTelnetベースのコマンドラインインターフェースを公開しています。その開放ポートにネットワーク経由で到達できる攻撃者は、認証情報なしで接続して特権的な制御を奪えます——ハードウェア設定の変更、観測機器が記録する地震データの改ざんや破壊、あるいは機器の完全な工場出荷時リセットの実行が可能です。この脆弱性は攻撃の複雑さが低く、権限もユーザー操作も不要で遠隔から悪用できるため、機器に到達できさえすれば容易に悪用されます。

影響範囲とベンダーの対応

CISAはFMUSシリーズの すべてのバージョン が影響を受けるとしており、その後の勧告改訂ではGüralp MINシリーズのデジタイザーも対象に含められました。この脆弱性はMicroSec社のSouvik Kandar氏からCISAへ報告されました。公開時点でGüralpは正式なファームウェア修正を確認しておらず、CISAの調整の試みにも応じていないため、運用者は単純にパッチを当てて解決することはできません。

リスクを減らすには

地震観測は早期警戒システムや研究システムに情報を供給するため、可用性と同じくらいデータの完全性が重要です——改ざんされた機器は誤った観測値を注入したり、機能を停止したりする恐れがあります。CISAの指針は防御的でネットワーク中心です。これらの機器をインターネットから到達不能にし、ファイアウォールの背後に置いて業務ネットワークから隔離し、遠隔アクセスが必要な場合は最新のVPNや踏み台ホストを使用してください。運用者はFMUSまたはMINの各機器がTelnetを公開していないか監査し、直ちにそのアクセスを遮断すべきです。