CATIAの基盤3DEXPERIENCEに最悪10点の脆弱性 CVE-2026-11756、設計PCが標的

2026年7月27日、設計ソフトCATIAやSOLIDWORKSの土台となっているフランス・ダッソーシステムズの「3DEXPERIENCE」プラットフォームに、危険度が満点の10.0という脆弱性が公表されました。ログインも操作も一切必要とせず、外部から任意のプログラムを実行できるとされています。

対象は「Station Launcher App」という部品で、サーバーではなく、設計者が日々使っているパソコンの上で動いています。影響を受けるのは2023年のR2023xから最新のR2026xまで、現行の全世代です。つまり「古い版だけの問題」ではありません。

ただし、今のところ実際に攻撃されたという報告はなく、攻撃用のプログラムも公開されていません。一方で厄介なのが、ダッソーが修正版のバージョン番号を公表していないことです。直し方を知るには、契約者向けサポートサイトへのログインが要ります。何が起きるのか、自社は対象か、どう動けばいいのかを順に整理します。同社の製品では、6月にも設計データ共有サーバーの無認証乗っ取りが公表されたばかりです。

危険度10.0は何を意味するのか

脆弱性の深刻さは、CVSSという10点満点の共通のものさしで表されます。9.0以上が最上位の「緊急」ですが、今回のCVE-2026-11756はその上限である10.0です。年間に何万件と公表される脆弱性のなかでも、満点が付くものは一握りしかありません。

満点になった理由は、悪用の条件がひとつも要らないうえに、被害が影響範囲の外まで広がると評価されたためです。内訳を分解すると、ネットワーク越しに攻撃でき（AV:N）、攻撃の難易度は低く（AC:L）、権限もログインも不要で（PR:N）、利用者に何かを操作させる必要もない（UI:N）。そのうえ、乗っ取った部品の権限の枠を越えて周囲まで支配が及ぶ（S:C）と判定されています。この最後の一項目があるかどうかで9.8と10.0が分かれます。

欠陥の種類は安全でないデシリアライゼーションと呼ばれるものです。プログラムはデータをやりとりするとき、扱いやすい形に「詰めて」送り、受け取った側で元の形に「戻す」処理をします。この戻す処理が、送られてきた中身を信用しきって復元すると、攻撃者は「復元されると同時に命令として動く」ように細工したデータを送り込めます。Javaを使う企業向けソフトで繰り返し起きてきた型で、少し前にはJavaの定番部品Fastjsonでも同じ仕組みの乗っ取りが問題になりました。

狙われるのはサーバーではなく、設計者のパソコン

この脆弱性でいちばん実務に効いてくるのが、対象の置き場所です。今回やられるStation Launcher Appは、データセンターのサーバーにあるのではなく、設計者ひとりひとりの業務用パソコンに入っています。

ダッソーの公式解説によれば、Station Launcherは「自分のパソコン上にローカルの専用ステーションを立ち上げ、そこでシミュレーションを実行する」ための仕組みです。同社の資料では「ネットワーク上の他の利用者があなたのステーションで計算を走らせることはできない」と説明されています。合わせて理解しておきたいのが、その前提となる3DEXPERIENCE Launcherという常駐サービスの存在です。ブラウザから CATIA や SOLIDWORKS といったパソコン側のアプリを起動できるようにするため、この常駐サービスは端末上で通信の受け口を開いたまま待機しています。ネットワーク越しの攻撃（AV:N）が成り立つのは、この構造があるからです。

実務への影響は、ここから素直に導けます。対処はサーバーの計画停止ではなく、設計部門の端末をまとめて更新する作業になります。深夜のメンテナンス枠を取れば終わる話ではなく、業務時間中に使われている端末を、部署をまたいで洗い出して当てていく必要があります。設計部門の端末は、CADのライセンス管理や検証済み構成の都合で、社内標準の更新配信から外している企業も少なくありません。まず「対象の端末が何台あるか」を数えるところから始まります。

誰が、何のために狙うのか

製造業の設計環境を狙うのは、無差別にサイトを巡回している相手とは毛色が違います。ここで想定されるのは、特定の企業の図面や解析データを目当てに、時間をかけて入り口を探す産業スパイ型の攻撃者と、生産を止めて身代金を要求するランサムウェアの実行犯です。どちらも、設計部門の端末が「会社の一番の資産に近い場所」だと知っています。

その相手がこの穴を使ってやるのは、設計者のパソコンを最初の足場として乗っ取り、そこから社内の設計データ基盤へ正規の利用者として入り込むことです。設計者の端末には、3DEXPERIENCEへの接続情報が保存されています。端末を取れば、そのまま製品データ管理の中枢へ「本人として」歩いていけます。侵入を検知する仕組みも、正規のアカウントによる正規の操作は止めにくいのが実情です。

最終的に何を失うかは、業種によって形が変わります。図面と解析結果を抜かれれば、競合や第三国へ渡って製品の優位が消えます。生産管理まで到達されて暗号化されれば、工場と、その先の取引先の納入計画まで止まります。日本の製造業では、2026年3月だけで7社がランサムウェア被害を公表しており、設計・生産系のシステムが狙われる流れは続いています。

対象バージョンの早見表

ダッソーが公開している対象範囲です。世代ごとに、記載された更新レベル（Fix Pack、FP.CFA）以下が影響を受けます。自社が使っている世代と更新レベルを、この表と突き合わせてください。

注意したいのは、最新のR2026xも対象に入っていることです。「最新版を入れているから安心」とはなりません。逆に、影響を受けるのはStation Launcher Appという特定の部品だけで、ダッソーは他の構成要素を「影響なし」と明記しています。3DEXPERIENCEを入れていても、この部品を使っていない構成なら対象外です。

修正版の番号が公表されていない

この件でいちばん引っかかるのがここです。危険度が満点であるにもかかわらず、ダッソーの公開アドバイザリには、どの更新レベルを当てれば直るのかが書かれていません。回避策の記載もなく、報告者の名前もありません。書かれているのは、対象範囲と「修正情報にアクセスする」というボタンだけです。

そのボタンの先は、QA00000460378という技術文書ですが、開くには契約者向けサポートのアカウントが必要です。ログインを持たない人が読んでも中身は表示されません。「自社が危ないかどうか」は誰でも読めるのに、「どう直すか」は契約者しか読めないという状態になっています。

表に記載された更新レベルの上限から考えると、その次のFix Packが修正版である可能性が高いと読めます。ただしこれはあくまで表の読み取りであって、ダッソーがそう明言しているわけではありません。実際に適用する版は、サポート契約のある担当者からQA00000460378を確認するか、販売代理店に問い合わせて確定させてください。

なお、この情報の出し方はこの一件に限った話ではなく、同社のアドバイザリに共通する形式です。6月のTeamwork Cloudの件や、7月のDELMIA Aprisoの件でも、修正版の番号・回避策・報告者はいずれも公開されていません。企業向け製品では珍しくない運用ですが、危険度10.0で情報公開から日が浅い今の局面では、社内で「まだ確認中」の時間が長引きやすいという副作用があります。

同じ部品で、9か月前にも重大な穴が見つかっていた

Station Launcher Appに深刻な脆弱性が見つかったのは、これが初めてではありません。2025年10月13日には、CVE-2025-9976として、同じ部品でOSへの命令を注入され、利用者のパソコン上で任意のコードを実行される脆弱性（CVSS 9.0）が公表されています。対象はR2022xからR2025xでした。

前回との違いは、悪用のハードルです。CVE-2025-9976は、攻撃者に何らかの権限が必要で、しかも利用者側の操作も必要でした。今回のCVE-2026-11756はその両方が不要になっています。同じ場所の設計上の弱さが、より悪い形で再び表に出たことになります。9か月で2度目という頻度は、この部品を抱えている企業にとって、今後も定期的な更新の対象として見ておくべき理由になります。

ダッソーの製品全体で見ると、2026年に入ってから公表された脆弱性は17件あります。うち危険度9.8以上は今回を含めて4件で、6月のTeamwork Cloud（CVE-2026-7858）、6月のSOLIDWORKS Visualize（CVE-2026-10094）、7月のDELMIA Apriso（CVE-2026-9695）が並びます。設計から生産まで、同社の製品群が全体的に精査を受けている状況です。

日本の製造業にとっての意味

3DEXPERIENCEは、日本の製造業の中枢にかなり入り込んでいます。ダッソー自身が公表している導入事例や、同社が主催する国内カンファレンスの登壇記録から確認できるものだけでも、次のような企業が並びます。

自動車では、トヨタ自動車、本田技研工業、SUBARU、ヤマハ発動機。部品・素材ではアルプスアルパイン、TOYO TIRE、武蔵精密工業。産業機械ではコベルコ建機、竹内製作所。航空機内装のジャムコ、建設の大成建設や西松建設、半導体のルネサス エレクトロニクス、消費財では資生堂やアシックス、TOTOなども導入を公表しています。

ここに名前が挙がっていることは、これらの企業が今回の脆弱性の影響を受けたという意味ではありません。今回対象になるのはStation Launcher Appという特定の部品で、どの企業がどの構成でどの更新レベルを使っているかは公表されていません。あくまで「3DEXPERIENCEという基盤が、国内のものづくりの広い範囲で使われている」という規模感を示すものとして読んでください。

現時点で、日本のJVNやJPCERT/CCからこの脆弱性に関する注意喚起は出ていません。国内での報道もまだありません。設計基盤の脆弱性は、影響が出るまで表に出にくく、気づいたときには納期に直結します。同じ製造業向けの設計データ管理では、PTC Windchillの重大な脆弱性や、Autodesk Fusionの乗っ取りの欠陥も今年公表されており、CAD・PLM領域そのものが攻撃者の関心を集めています。

情報システム部門がいま確認すべきこと

攻撃が観測されていない今のうちにやっておくと安く済むことを、順番に並べます。

手順4を挙げたのは、修正版の適用に時間がかかる可能性が高いためです。ダッソーは回避策を公開していないため、これは一般的なネットワーク分離の考え方にすぎませんが、設計者の端末が開いている受け口に、社外や別セグメントから直接到達できる状態になっていないかを確認しておく価値はあります。在宅勤務やVPN経由の接続を許している環境では、経路が想定より広がっていることがあります。

この脆弱性は現時点で、米政府CISAの実際に攻撃が確認された脆弱性のリスト（KEV）には載っていません。悪用の可能性を示すEPSSという指標もまだ算出されておらず、攻撃用のプログラムも見つかっていません。ただし2025年には、ダッソーのDELMIA Apriso関連の3件（CVE-2025-5086、CVE-2025-6204、CVE-2025-6205）が公表から数週間でKEV入りしています。同社製品が実際に狙われた前例がある以上、静かな今のうちに手を打っておくのが安全です。

まとめ

CVE-2026-11756は、CATIAやSOLIDWORKSの土台である3DEXPERIENCEのStation Launcher Appに、ログインも操作も不要で任意のプログラムを実行される欠陥が見つかったものです。危険度は満点の10.0、対象はR2023xからR2026xまでの全世代。実際の攻撃はまだ確認されておらず、報道もPoCもありません。

実務上のポイントは3つです。ひとつ、対象はサーバーではなく設計者のパソコンなので、対処は端末管理の仕事になります。ふたつ、最新のR2026xも対象で、最新版を入れていることは安心材料になりません。みっつ、修正版の番号が公開されていないため、確定にはサポート契約者を通した確認が要ります。まずは対象端末の台数と更新レベルを数えるところから始めるのが、いちばん確実です。修正版の情報公開、実際の悪用、KEVへの掲載など動きがあれば、この記事に追記します。

参照元

• ▸ Dassault Systèmes - CVE-2026-11756 セキュリティアドバイザリ
• ▸ NVD - CVE-2026-11756
• ▸ NVD - CVE-2025-9976（同じStation Launcher Appの前回の脆弱性）
• ▸ Dassault Systèmes サポート - QA00000460378（修正情報・要ログイン）
• ▸ Dassault Systèmes - 3DEXPERIENCE Launcher サービスの解説
• ▸ Dassault Systèmes - セキュリティアドバイザリ一覧
• ▸ CISA - Known Exploited Vulnerabilities Catalog
• ▸ Dassault Systèmes - 製品ポートフォリオ（3DEXPERIENCE上のブランド一覧）