Cybersécurité
ICONICS GENESIS64 : votre supervision GTB mérite une mise à jour (et MC Works64 un plan de migration)
Si vous travaillez en GTB/GTC, vous avez forcément croisé ICONICS. Sa suite de supervision GENESIS64 équipe de nombreux bâtiments tertiaires, data centers et sites industriels, souvent en surcouche BACnet, Modbus ou OPC. Le 27 octobre, la CISA a publié un avis (ICSA-26-300-02) reprenant le bulletin de Mitsubishi Electric, propriétaire de la marque : quatre vulnérabilités, dont trois jugées critiques.
Les failles en bref
| CVE | Score | Nature |
|---|---|---|
| CVE-2026-16438 | 9,4 (CVSS v4) | Permissions DCOM par défaut trop larges accordées au compte administrateur du produit |
| CVE-2026-16436 | 9,2 (CVSS v4) | Récupération de mot de passe faible : réponse de « challenge » statique et commune à tous les utilisateurs |
| CVE-2026-16437 | 7,1 (CVSS v4) | Fichier de challenge lisible et modifiable par les administrateurs locaux Windows |
| CVE-2023-4863 | élevé | Débordement de tampon dans la bibliothèque libwebp intégrée (faille connue et exploitée ailleurs) |
Sont concernés GENESIS jusqu’à la 11.03, GENESIS64, ICONICS Suite, Hyper Historian, AnalytiX, MobileHMI et IoTWorX jusqu’à la 10.97.3, ainsi que toutes les versions de MC Works64, GENESIS32 et BizViz. Mitsubishi Electric évoque un risque de vol, de modification ou de suppression d’informations et de déni de service. Aucune exploitation des nouvelles failles n’était signalée à la publication.
Ce qu’il faut faire
- Mettre à jour : ICONICS Suite et IoTWorX en 10.98, GENESIS en 11.04.
- Pour les produits non corrigés (MC Works64, GENESIS32, BizViz) : le constructeur ne publiera pas de correctif et recommande de migrer vers GENESIS64 ou GENESIS. En attendant, filtrage réseau strict et accès distant uniquement par VPN.
- Contournement possible pour la récupération de mot de passe : remplacer le fichier de challenge (ChallengeTable.dat ou SecurityChallenges.dat) par un fichier vide et verrouiller les droits d’écriture.
Mon regard d’intégrateur
Ce qui me frappe, c’est la mention « pas de correctif » pour GENESIS32 et MC Works64. Dans le bâtiment, une supervision installée il y a dix ou quinze ans tourne souvent toujours, sur un poste Windows qu’on n’ose plus toucher parce que « ça marche ». C’est exactement ce genre de poste qui devient le maillon faible d’un réseau GTB, surtout quand il est aussi accessible depuis le réseau bureautique pour que l’exploitant consulte ses alarmes.
Ma recommandation : profitez de cet avis pour inventorier vos postes de supervision, leurs versions et leurs chemins d’accès. Une supervision GTB devrait vivre dans un segment dédié, avec des flux explicitement autorisés vers les automates et vers les postes clients, et un accès distant tracé. Les comptes administrateurs du logiciel doivent être nominatifs et protégés, puisque deux des failles reposent justement sur ces comptes.
Enfin, si vous rédigez un CCTP ou préparez une mise en conformité au décret BACS, intégrez la question du cycle de vie logiciel. Une GTB doit vivre vingt ans ; son superviseur, lui, doit être maintenu et mis à jour pendant toute cette durée. Ce n’est pas un détail, c’est une ligne de budget.