Siemensは、Simcenter FemapとSimcenter Nastranに任意コード実行につながる脆弱性「CVE-2026-59086」があるとして、V2606以降への更新を求めています。
対象は両製品のV2606未満であり、設計解析に使う端末では、導入版の確認と更新計画を同時に進める必要があります。
Siemens ProductCERTのアドバイザリSSA-069220は2026年8月11日に公開され、8月13日の更新でSimcenter Femapが対象に追加されました。
公開された攻撃コードの存在と、現場での実悪用が確認されたことは同じではありません。
現時点の公表情報は、この二つを分けて読む必要があります。
CVE-2026-59086の影響範囲
Simcenter Femapは有限要素モデルの作成、編集、確認に使われる解析アプリケーションです。
Simcenter Nastranは、線形解析や非線形解析、構造動力学などを扱う有限要素法ソルバーです。
Siemensによると、影響を受けるアプリケーションには、実行ファイルへ渡された細工済み文字列を解析するときに発生するスタックベースのバッファオーバーフローがあります。
これは、確保したメモリ領域の範囲を超えてデータを書き込み、プログラムの制御を損なう不具合です。
攻撃者が利用者を誘導し、影響を受ける実行ファイルを悪意ある引数付きで動かさせた場合、現在のプロセスと同じ権限でコードを実行される可能性があります。
| 項目 | 内容 |
|---|---|
| 対象製品 | Simcenter Femap、Simcenter Nastran |
| 影響を受ける版 | V2606未満のすべての版 |
| 修正版 | V2606以降 |
| 脆弱性の種類 | CWE-121、スタックベースのバッファオーバーフロー |
| CVSS | CVSS v3.1で7.8、CVSS v4.0で7.3 |
| 想定される影響 | 現在のプロセス権限でのコード実行 |
米国NISTのNVDも、対象製品と版、CVSS値、CWE-121をSiemensの情報に基づいて掲載しています。
CVSS v3.1のベクトルでは、攻撃元はローカルで、利用者の操作が必要と評価されています。
したがって、インターネットから対象アプリケーションへ直接到達するだけで成立する脆弱性として扱うのは正確ではありません。
攻撃コードの公開と実悪用の違い
IPAの制御システム向け脆弱性一覧は、CVE-2026-59086について「攻撃コードあり」、対策はアップデートと整理しています。
一方、NVDに掲載されたCISAのSSVC評価では、公表時点の悪用状況は「none」とされています。
この組み合わせは、「攻撃手法を試せる情報は存在するが、実際の攻撃で使われたことまで公的に確認されたわけではない」という状態を示します。
「攻撃コードがあるため侵害済み」と断定することも、「実悪用の報告がないため放置できる」と判断することも適切ではありません。
公開コードは検証や攻撃への転用を容易にし得るため、管理者は修正版への移行を優先する必要があります。
管理者が進める更新手順
- 対象端末を特定する
資産台帳、ソフトウェア配布基盤、端末管理情報を照合し、FemapまたはNastranが入っている端末と版を一覧にします。
端末名だけでなく、担当部門、業務上の用途、解析ジョブの有無も記録すると更新順を決めやすくなります。 - V2606以降へ更新できるか確認する
Siemensが示す修正はV2606以降への更新です。
ライセンス条件、プラグイン、バッチ処理、解析モデルの互換性を検証環境で確認し、本番端末の停止時間を決めます。 - 更新まで入力経路を絞る
未確認のスクリプト、ショートカット、バッチファイルを実行させず、外部から受け取った手順に含まれるコマンドライン引数を点検します。
利用者を標準権限で運用すれば、コードが実行された場合に得られる権限を抑えられることがあります。 - 更新後に業務動作を確認する
代表的な解析モデルで結果と処理時間を比較し、連携ツールや自動処理が正常に動くことを確かめます。
更新済みの端末と確認者を台帳へ戻し、未完了端末を残さないようにします。 - 不審な実行を調査する
見覚えのない引数付き実行、通常と異なる親プロセス、解析端末からの不審な外部通信があれば、ログを保全して組織のインシデント対応手順へ移します。
調査が終わる前にログや端末状態を消してしまうと、侵害の有無を判断しにくくなります。
Siemensは製品別の対処としてV2606以降への更新を案内し、一般的な対策として適切な仕組みによるネットワークアクセスの保護と、製品マニュアルに沿った運用を推奨しています。
更新前の暫定対応だけを恒久策にせず、互換性試験を挟んで修正版へ移行するのが妥当です。
設計解析端末を更新対象から漏らさない
設計解析ソフトは、一般の業務アプリケーションとは別の部門予算やライセンス管理で運用されることがあります。
そのため、全社の更新一覧に製品名が載らず、担当者の判断だけに任される状態が生じます。
今回の対策では、脆弱性番号を配布するだけでなく、「どの端末で、誰が、どの版を、何の業務に使っているか」を確定させる作業が先に必要です。
管理者と設計部門が資産情報、互換性試験、更新後の業務確認を分担すれば、解析業務を止めるリスクと未更新のリスクを同じ計画で扱えます。
編集部の見解
CVE-2026-59086は、利用者の操作を要するローカル攻撃経路であり、実悪用が確認済みの緊急事案として公表されたものではありません。
しかし、設計データを扱う端末では、実行されるプロセスの権限や保存情報によって影響が大きくなります。
前向きな対応は、危険度の数字だけで更新順を決めず、公開コードの有無、必要な利用者操作、端末の権限、扱うデータ、更新時の業務影響を並べて判断することです。
今回の確認を資産台帳と更新手順の見直しにつなげれば、次の脆弱性が公表されたときの初動も短くできます。
参照資料
- Siemens ProductCERT「SSA-069220」
- NIST NVD「CVE-2026-59086」
- IPA「CISAが公開した制御システムの脆弱性情報」
- 株式会社greeden公式サイト
この記事に関連する株式会社greedenの取り組み
設計解析ソフトの更新では、影響範囲の把握と運用を止めない移行計画が欠かせません。株式会社greedenは、要件定義から保守運用まで一気通貫のWebシステム開発で、継続的な改善を支援します。