Три уязвимости в MicroSCADA X SYS600 от Hitachi Energy дают доступ к объектам приложения без отдельного входа в систему. Одна из них позволяет поднять права до администратора Windows. Затрагивают дефекты АСУ ТП (автоматизированные системы управления технологическими процессами) энергетических объектов по всему миру. Сочетание таких проблем открывает локальному пользователю путь к полному контролю над сервером, который управляет энергетическим оборудованием. Уязвимы версии 10.7 и более ранние, а для одной из трёх проблем затронутой остаётся и 10.8.
Три уязвимости MicroSCADA X SYS600 и их последствия
Бюллетень Hitachi Energy PSIRT вышел 1 сентября 2026 года, повторная публикация на сайте CISA появилась 20 октября 2026 года. Уязвимости нашли Zachary Andrew Wagner, Steven Nicolais и Timotius Oetnung из Sandia National Laboratories по программе CyTRICS. Сведений об эксплуатации в реальных атаках нет. Система приоритизации SSVC (метод оценки риска для промышленных систем) помечает эксплуатацию как ненаблюдаемую, а автоматизацию атаки как отсутствующую. В бюллетене указана одна отрасль, энергетика; поставки идут по всему миру.
Подстановка формул в выгрузку журнала
Первый дефект касается экспорта журнала событий в таблицу CSV. Запись журнала может содержать формулу, и табличный редактор выполнит её при открытии файла. В результате злоумышленник добавляет или меняет данные в таблице, вставляет ссылки, устраивает утечку данных. При определённых настройках среды он добивается и запуска исполняемого кода на машине пользователя. Чтобы получить произвольную запись в журнале, нужен доступ к сценариям SCIL (встроенный язык SYS600), к отдельной уязвимости внедрения записей или к брокеру SYS600. Затрагивает проблема всех пользователей Windows, которые могут запускать службу Notify и выгружать журнал, независимо от уровня прав. Оценка по CVSS 3.1 - 5,0 балла, средний уровень.
Чтение и правка объектов без входа в SYS600
Второй дефект (CVE-2026-9853) снимает проверку подлинности на уровне приложения. Любой человек, вошедший в операционную систему сервера с SYS600, читает и правит объекты приложения. Отдельный вход в SYS600 при этом не нужен. Смотреть и менять объекты должны только пользователи системы, и вендор указывает на это прямо. Оценка по CVSS 3.1 - 7,8 балла, высокий уровень. Практически администратор Windows, подрядчик или сотрудник с рядовой учётной записью на хосте получает доступ к данным диспетчерского управления.
Рост прав до администратора Windows через инженерные инструменты
Третий дефект (CVE-2026-9854) кроется в механизме ролей, то есть в управлении доступом на основе ролей (RBAC). Пользователь с доступом к инженерным инструментам повышает свои права до администратора операционной системы. В итоге он получает полный контроль над хостом. Оценка по CVSS 3.1 - снова 7,8 балла, высокий уровень. Вместе со второй проблемой этот дефект сокращает путь от учётной записи инженера до управления самим сервером.
Для версий 10.7 и более ранних Hitachi Energy предлагает перейти на 10.8, где исправление устраняет первую и третью проблемы. Вторую проблему в 10.8 закрывают настройкой по отдельной стратегии защиты. Стратегию описывает руководство по установке и администрированию MicroSCADA X SYS600 10.8 в разделе 2.1.7.5, она подходит и для версий с 10.3. Дополнительно вендор ссылается на руководство по кибербезопасности при развёртывании MicroSCADA X 10.8. Сетевую часть решают изоляцией: системы управления держат за межсетевым экраном, без прямого выхода в интернет, удалённый доступ пускают только через VPN (защищённый туннель).
Все три уязвимости требуют предварительного доступа к серверу или к его журналу. Поэтому удалённая атака без подготовки им не подходит. Для АСУ ТП картина типичная: по отдельности дефекты выглядят умеренно, вместе складываются в путь от рядовой учётной записи до администратора. Сегментация сети и раздельные учётные записи остаются основным барьером, пока обновление не встало на всех узлах.
Ссылки
