ICONICS a GENESIS64: tři zranitelnosti, DCOM opraví až verze 10.98

CISA zveřejnila 27. října 2026 advisory ICSA-26-300-02 ke třem zranitelnostem v softwaru ICONICS, GENESIS64 a MC Works64 od Mitsubishi Electric. Chyba v knihovně libwebp má CVSS 8,2, obejití zámku obrazovky 8,1 a chybné přidělení DCOM oprávnění 9,1 — a každou z nich opravuje jiná verze.

Tři chyby

• CVE-2023-4863 — zápis mimo meze v knihovně libwebp (CWE-787), CVSS 3.1 8,2. Kód spustí ověřený lokální útočník s právy administrátora importem upraveného souboru.
• CVE-2026-16436 — slabá obnova zapomenutého hesla (CWE-640), CVSS 3.1 8,1. Odpověď, kterou se systém odemyká, je stejná pro všechny uživatele a neměnná; kdo ji získá, odemkne systém na dálku.
• CVE-2026-16437 — stejná třída chyby (CWE-640), CVSS 3.1 6,4. Jde o soubor, který odpověď uchovává, a útočník potřebuje lokální účet s administrátorskými právy.
• CVE-2026-16438 — chybné přidělení oprávnění (CWE-266), CVSS 3.1 9,1. Instalátor přidělí administrátorskému účtu výchozí DCOM oprávnění, takže s ním jde spouštět DCOM objekty lokálně i vzdáleně.

Která verze co řeší

Kdo nainstaluje 10.97.3 a považuje věc za vyřešenou, zavřel jen chybu v knihovně na webp obrázky. Dvojice kolem odemykání systému a DCOM oprávnění zůstává otevřená do 10.98. U GENESIS64 a ICONICS Suite navíc advisory k CVE-2026-16436 a -16437 žádnou opravnou verzi neuvádí, takže tam zbývá jen omezení přihlašování.

Pro MC Works64 platí postižené verze „all“ — tedy všechny. Ani tam oprava není; Mitsubishi Electric doporučuje povolit na počítači s produktem přihlášení jen administrátorovi, držet ho v LAN, zablokovat vzdálený přístup z nedůvěryhodných sítí a omezit fyzický přístup k němu.

Pro správce: projděte všechny počítače, kde ICONICS nebo GENESIS64 běží — obvykle to není jeden stroj, ale operátorské stanice u linek a inženýrský notebook. Verzi zjistěte v instalaci produktu a podle ní rozhodněte mezi 10.97.3, 11.04 a 10.98; jedna aktualizace celou trojici nezavře.