美國網路安全暨基礎設施安全局（CISA）近日接連發布兩則工業控制系統資安公告，揭露 Johnson Controls Metasys 系列產品存在最高風險等級的命令注入漏洞，以及 Mitsubishi Electric (三菱電機) Iconics Suite SCADA 系統的權限提升漏洞。兩項漏洞影響範圍涵蓋商業設施、關鍵製造、能源、政府機構及交通運輸等領域，台灣製造業與能源產業應提高警覺，儘速進行資產盤點與風險評估。
Johnson Controls Metasys 六款產品存在 CVSS 10.0 滿分漏洞
根據 CISA 於 2026 年 1 月 27 日發布的公告（ICSA-26-027-04），Johnson Controls 旗下 Metasys 系列六款工控產品存在嚴重的命令注入漏洞（CWE-77），漏洞編號為 CVE-2025-26385，CVSS v3 評分高達 10.0 滿分，屬於最高風險等級。
該漏洞源於系統對特殊字元的不當處理，導致命令注入問題。遠端攻擊者無需經過身分驗證，即可對受影響系統執行任意 SQL 指令，進而竄改、刪除或竊取敏感資料。
受影響產品及版本包括：Metasys Application and Data Server（ADS）14.1 以下版本、Metasys Extended Application and Data Server（ADX）14.1 以下版本、Metasys LCS8500 12.0 至 14.1 版本、Metasys NAE8500 12.0 至 14.1 版本、Metasys System Configuration Tool（SCT）17.1 以下版本，以及 Metasys Controller Configuration Tool（CCT）17.0 以下版本。
Johnson Controls Metasys 大樓自動化與工控解決方案廣泛部署於全球商業設施、關鍵製造業、能源設施、政府機構及交通運輸系統。台灣許多大型商辦、廠房及公共建設採用該公司產品，相關業者應立即確認是否使用受影響版本。
CISA 表示，截至公告發布日止，尚未發現該漏洞遭到公開利用的案例。然而，考量其 CVSS 滿分的嚴重程度與廣泛部署情況，系統管理員與資安團隊應立即採取行動。Johnson Controls 已釋出修補程式（GIV-165989），用戶可透過 License Portal 下載並執行更新。
三菱電機Iconics Suite SCADA 漏洞可導致系統癱瘓
另一則公告涉及 Mitsubishi Electric (三菱電機) 旗下 Iconics Digital Solutions 的 GENESIS64 系統，存在權限提升漏洞（CVE-2025-0921），CVSS v3 評分為 6.5，屬於中度風險。
該漏洞由 Palo Alto Networks Unit 42 研究人員 Asher Davila 與 Malav Vyas 於 2024 年初發現。漏洞存在於 AlarmWorX64 MMX 警報管理系統的 Pager Agent 元件中，攻擊者可透過操控位於 C:\ProgramData\ICONICS 目錄下 IcoSetup64.ini 設定檔中的 SMSLogFile 路徑，建立指向系統關鍵檔案的符號連結（Symbolic Link）。
當系統觸發警報或管理員發送測試訊息時，日誌資訊會循符號連結覆寫關鍵系統驅動程式，例如負責 Windows 加密服務的 cng.sys。一旦系統重新啟動，損毀的驅動程式將導致開機失敗，使工控工作站陷入無限修復迴圈而無法運作。
受影響產品包括所有版本的 GENESIS64、MC Works64 及 GENESIS 11.00 版。根據公告，Iconics Suite 在全球超過 100 個國家擁有數十萬套安裝實例，部署場域涵蓋政府設施、軍事單位、水處理廠、公用事業及能源供應商。
研究人員指出，若攻擊者同時利用先前揭露的 CVE-2024-7587 漏洞（GenBroker32 安裝程式的過度權限問題），攻擊難度將大幅降低。該漏洞會授予 C:\ProgramData\ICONICS 目錄過度寬鬆的權限，允許任何本機使用者修改關鍵設定檔。然而，即使未結合此漏洞，攻擊者仍可透過錯誤配置、其他漏洞或社交工程手法，在日誌檔案可寫入的情況下獨立利用 CVE-2025-0921。
台灣關鍵基礎設施業者應立即因應
這兩項漏洞對台灣的半導體製造、傳統製造業、能源設施及政府機構構成潛在威脅。使用相關工控系統的組織應立即採取以下措施：
- 資產盤點與風險評估：清查組織內是否部署 Johnson Controls Metasys 或 Iconics Suite 受影響產品與版本，評估系統暴露程度與業務衝擊。
- 網路隔離與存取控制：確保工控系統網路與網際網路隔離，並與企業內部網路區隔。建置防火牆並嚴格管控存取權限。
- 修補程式部署：Johnson Controls 已透過 License Portal 釋出 Metasys 修補程式（GIV-165989），組織應依據原廠公告（JCI-PSA-2026-02）進行更新。Iconics 方面，GENESIS 11.01 以上版本已釋出修補程式，可於 Iconics Community Resource Center 下載；GENESIS64 修補版本仍在開發中，MC Works64 則暫無修補計畫，用戶須採取緩解措施因應。
- 遠端存取安全：若有遠端存取需求，應部署已更新修補的 VPN 解決方案，並確認連線設備的安全性。
- 事件通報機制：組織若觀察到可疑活動，應依循台灣國家資通安全研究院（NICS）或相關主管機關的通報機制進行回報，以利整體威脅態勢追蹤。
在完整部署修補程式前，網路分段與實體隔離是保護老舊系統的關鍵防護策略。組織應在部署任何防禦措施前，優先完成衝擊分析與風險評估，避免影響正常營運。