Цепочка из двух уязвимостей в Industrial Edge App Publisher - инструменте публикации приложений для промышленной платформы Siemens - позволяет атакующему в сети выдать себя за сервер управления и выполнить произвольный код на машине разработчика. Одна проблема связана с проверкой сертификата при защищённом соединении, вторая - с выводом непроверенных данных от сервера в интерфейсе приложения. Затронуты версии ниже 1.27.9. Siemens выпустила исправление.
Проверка сертификата и межсайтовый скриптинг
Обе уязвимости описаны в уведомлении Siemens ProductCERT SSA-968435, которое перепубликовано на сайте CISA. Вендор помечает продукт как подтверждённо уязвимый и даёт одно исправление на обе проблемы. Дальше разобрано, как устроена каждая из них и почему вместе они приводят к запуску кода.
Некорректная проверка сертификата
Первая уязвимость, CVE-2026-78556, касается проверки сертификата сервера. При установке защищённого соединения (TLS - протокол шифрования, на котором работает HTTPS) приложение не убеждается, что сертификат выдан тому серверу, с которым оно соединяется. Из-за этого атакующий может встать в разрыв канала (атака "человек посередине"), читать и подменять ответы, выдавая свой узел за доверенный. Атака идёт по сети, учётные данные не нужны, участие пользователя не требуется. Оценка - 7.4 из 10 по шкале CVSS (общая система оценки уязвимостей), уровень High.
Непроверенные данные в интерфейсе
Вторая уязвимость, CVE-2026-78557, - межсайтовый скриптинг (XSS). Приложение выводит в интерфейсе данные, полученные от сервера, не очищая их. Если сервер подменён, он возвращает строку со сценарием на JavaScript (язык программирования для веб-интерфейсов), и интерфейс исполняет её как часть своей логики.
Эффект усиливает среда исполнения. Интерфейсная часть собрана на Node.js - среде выполнения JavaScript с доступом к файловой системе и процессам машины. Сценарий из ответа сервера получает те же права, что и само приложение, поэтому его исполнение превращается в запуск произвольного кода. Оценка - 8.3 из 10, уровень High. Атака идёт по сети, учётные данные не нужны, но пользователь должен открыть приложение и получить подменённый ответ.
По отдельности проблемы выглядят ограниченно. Вместе они складываются в цепочку: первая даёт контроль над ответами сервера, вторая превращает этот контроль в запуск кода. Машина с таким приложением обычно имеет доступ к серверам публикации приложений и к тестовым стендам промышленной платформы.
Обновление до версии 1.27.9 закрывает обе уязвимости. Более поздние сборки также защищены, вендор рекомендует перейти на последнюю доступную версию. Уведомление опубликовано 13 октября 2026 года, вторая ревизия вышла 22 октября 2026 года вместе с публикацией на сайте CISA. Номер ревизии относится к документу, а не к исправлению.
Сведений об эксплуатации в реальных атаках в уведомлении нет. Публикация уведомления означает, что технические детали стали доступны, а не то, что уязвимости уже используют. Обе проблемы нашла команда Siemens ProductCERT и передала их в CISA.
Обходных мер, которые заменили бы обновление, вендор не называет. Дополнительно Siemens советует ограничить сетевой доступ к устройствам: разместить их за межсетевым экраном и изолировать от корпоративной сети. Для удалённого доступа применяют VPN и обновляют его до актуальной версии. CISA добавляет к этому анализ влияния на инфраструктуру до внедрения защитных мер.
Для администратора важнее не сама оценка, а состав цепочки: подмена сервера и запуск кода в одном приложении. Проверка версии 1.27.9 закрывает первый шаг, сетевые ограничения затрудняют второй. До полного перехода на исправленную сборку полезно следить за ревизиями уведомления.
Ссылки
