安全厂商Nozomi Networks发现三菱电机可程序化逻辑控制器（programmable logic controller，PLC）的3项软件漏洞，可能让攻击者轻松黑入PLC而影响生产过程。
漏洞存在三菱电机安全PLC及相关工程工作站软件GX Works3使用的通信协议MELSOFT中。GX Works3是三菱电机专为MELSEC iQ-R和MELSEC iQ-F Series控制系统设计的编程和维护软件。GX Works3和安全CPU模块相关的项目文件是以加密存储，需要用户名和密码才能打开。
最新MELSOFT漏洞是Nozomi Networks继去年8月在同一协议发现五项漏洞后，最新披露的瑕疵。这三项漏洞分别为CVE-2022-29831、CVE-2022-29832和CVE-2022-29833。其中CVE-2022-29831为使用写死密码，CVE-2022-29832为内存敏感资讯明码存储，CVE-2022-29833则为登录凭证保护不足。影响产品包括三菱电机的GX Works3及MX OPC UA Module Configurator-R。
由于三项漏洞都还没有修补程序，现阶段，安全厂商并未公布漏洞技术细节，只提供大致描述。
安全厂商指出，最严重情况下，攻击者只要取得一个GX Works3项目文件就可以成功利用漏洞。方法有好几个，包括通过配置错误的文件服务器、访问共享计算机、窃听未受保护的通信等。只要其中一种成功，攻击者就能立刻滥用前二个漏洞，取得项目文件中关于项目本身，及安全CPU模块注册的账号用户名的敏感资讯。
但如果资产持有人曾重复使用安全CPU模块的登录凭证，就可能发生严重后果。攻击者可能串联3个漏洞，取得重要的攻击原语（primitive），使其可直接访问及黑入该安全CPU模块，进而扰乱制造过程。
美国计算机安全暨基础架构安全管理局（CISA）已对三项漏洞发出安全公告。CISA将三漏洞联合风险列为CVSS v3 9.1，属重大漏洞。
目前软件厂商无法修补漏洞，三菱电机则准备修补CVE-2022-29831，并为CVE-2022-29832、CVE-2022-29833提供缓解决方案法。在此之前，为降低风险，安全厂商建议用户尽可能限制安全CPU项目文件的访问权限，不论是在传输或存储状态，变更安全CPU模块上的所有弱密码。此外，安全厂商呼吁安全CPU项目文件的打开凭证绝对不要重复使用。
漏洞是否遭到滥用不得而知。7月安全厂商Dragos发现有人在社群网站发布网络广告消息，销售PLC或人机接口（HMI）的密码破解工具，涵盖的PLC品牌包括三菱、欧姆龙、松下（Panasonic）、富士电机（Fuji Electric）、LG及台达自动化等。
巧合的是，CISA发出安全公告，警告欧姆龙（Omron）的NJ、NX系列PLC系统产品线一项软件漏洞遭到攻击。