米軍基地で続いた冷凍設備の故障
米国防総省の調査担当者は、8月に複数の米軍基地で起きた冷凍庫の故障について、サイバー攻撃の可能性を調べています。故障の原因が攻撃と確定したわけではありませんが、軍の食品保管設備が遠隔操作され、食料を損なう事態への懸念があります。
米軍の売店を運営する国防総省の国防コミサリー局（DeCA）は、冷凍設備の霜取りを遠隔監視制御システム（RMCS）で管理するよう仕様を定めています。調達資料ではRMCSが182拠点に導入され、故障が報告された14拠点も含まれていました。
アリゾナ州のフォート・フアチュカでは、停電ではなく、冷凍庫が霜取りモードに入り食品を加熱したとの説明がありました。ニューメキシコ州のホロマン空軍基地、カリフォルニア州のフォート・アーウィン、ロードアイランド州のニューポート海軍基地でも、冷蔵設備の故障で冷蔵・冷凍品を棚に出せないと告知されました。
冷凍設備を動かす制御装置の脆弱性
商業用冷凍設備では、上位の監視制御装置がネットワークを通じて複数の設備を管理し、各冷凍機に設置された制御装置が温度センサーや圧縮機、冷却ファン、霜取りヒーターを動かします。Copeland XWEB Proはこうした管理を担う製品群です。Team82は同製品の脆弱性を調査しました。
Team82はXWEB Proで23件の脆弱性を見つけ、そのうち21件を重大度の高いものと評価しました。認証回避や認証情報の生成方式、OSコマンドへの不適切な入力処理などを組み合わせると、遠隔から管理機能へ侵入し、最終的にルート権限でコードを実行できる可能性があります。
実機を使った試験では、侵害した上位制御装置から、接続された冷凍設備の表示温度や圧縮機、ファン、霜取り機能、照明を操作できました。Team82が脆弱性をCopelandへ開示した後、同社はファームウェア1.13で対処しました。
Danfoss製品の問題とフランスの被害
Team82はDanfoss AK-SM 800Aでも、日付から生成される認証コードを使った認証回避、コマンドインジェクションによる遠隔コード実行、ウェブサーバー設定の不正変更につながる脆弱性を報告しました。脆弱な管理画面がインターネットからアクセス可能な状態にあると、冷凍設備を管理する仕組みが攻撃の入口になり得ます。
CISAは、AK-SM 8xxAシリーズについて、認証回避の脆弱性はR4.2より前、コード実行と設定変更の脆弱性は4.3.1より前の版が影響を受けるとしています。DanfossはそれぞれR4.2とR4.3.1を公開し、問題に対処しました。
2026年10月にフランスの複数のスーパーマーケットチェーンで冷凍設備への攻撃が起き、食品保管に影響しました。インターマルシェは150店舗が影響を受けたとし、攻撃者がDanfossの冷凍設備に侵入して温度設定を50度まで上げたと説明しました。
食品保管設備を守るうえでの論点
Team82の調査では、インターネットからアクセスできるDanfoss AK-SM 800Aが2,765台見つかりました。外部公開された制御装置は攻撃対象になり得ます。
米軍基地の故障とフランスの攻撃は、いずれも冷凍設備の停止や温度操作が食品の保管に影響する点で結びつきます。フランスの攻撃と同じ手口だったかは、現時点で確定していません。
CISAは制御システムをインターネットに直接公開しないことや、制御系ネットワークをファイアウォールの内側に置き、業務ネットワークから分離することを推奨しています。遠隔アクセスが必要な場合はVPNなどを使い、脆弱性に対処したファームウェアを適用することも対策として挙げています。
