Удалённый злоумышленник без учётной записи на устройстве может прочитать часть содержимого памяти контроллеров Siemens и остановить их работу. Проблемы затрагивают три линейки оборудования для автоматизации зданий: APOGEE, TALON и Desigo. Для одних моделей исправления уже готовы, для других их не планируют. Атака не требует ни пароля, ни действий оператора, достаточно сетевой доступности устройства.
Пять уязвимостей в контроллерах Siemens для автоматизации зданий
Бюллетень SSA-333035 от 13 октября описывает пять проблем. Четыре из них касаются веб- и FTP-служб контроллеров, пятая связана с разбором сетевых пакетов. Однако общая черта у всех одна: атака идёт по сети, учётные данные и участие оператора не требуются. Разброс оценок по CVSS третьей версии - от 5.3 до 8.2, по четвёртой - от 6.9 до 8.8. Уязвимости нашли специалисты Forescout Technologies, вендор и исследователи раскрыли их согласованно.
Проблемы в веб- и FTP-службах
Наибольшую оценку получила CVE-2026-102073: 8.2 по CVSS третьей версии и 8.8 по четвёртой. Такой рейтинг соответствует высокому уровню опасности. Веб-служба неверно проверяет длину входных данных, поэтому злоумышленник может прочитать часть памяти устройства либо вызвать отказ в обслуживании. Второй сценарий означает, что контроллер перестаёт отвечать на запросы.
Ещё три проблемы тоже ведут к отказу в обслуживании: 7.5 по CVSS 3.1 и 8.7 по CVSS 4.0. Причина - переполнение буфера, то есть запись за границы области памяти, отведённой под входные данные. Две уязвимости затрагивают веб-службу, одна - службу передачи файлов FTP.
Работают ли эти службы на конкретном объекте, зависит от конфигурации. На контроллерах APOGEE, Desigo и TALON обе выключены по умолчанию. Риск выше там, где их включали вручную.
Часть контроллеров остаётся без исправлений
Пятая уязвимость, CVE-2026-89208, отличается по характеру. Контроллеры Desigo серий PXC и PXM не проверяют границы данных при разборе пакета. Посторонний фрагмент в пакете открывает путь к чтению памяти за его пределами. Оценки ниже - 5.3 по CVSS 3.1 и 6.9 по CVSS 4.0, средний уровень опасности. Проблема есть во всех версиях начиная с V2.3.
Обновлений для этих моделей Siemens не готовит. Устаревшие контроллеры APOGEE серий MBC и MEC тоже остаются без исправлений. Вместо новых версий вендор предлагает вывести устройства в отдельный сегмент сети и закрыть шлюзами с межсетевыми экранами.
Речь идёт об оборудовании, которое управляет отоплением, вентиляцией, кондиционированием и другими инженерными системами здания. Если контроллер перестаёт отвечать, объект теряет централизованное управление. Аутентификация в описанных сценариях не нужна, а сложность атаки вендор оценивает как низкую. Что именно может попасть в прочитанный фрагмент памяти, в бюллетене не уточняется.
Обновления и защитные меры
Владельцам APOGEE PXC Compact и Modular нужно обновиться до версии V3.5.7 в ветке BACnet или до V2.8.21 в ветке P2 Ethernet. Контроллеры TALON TC Compact и Modular на BACnet закрывает та же версия V3.5.7. Обновления Siemens отдаёт через партнёрский портал, поэтому потребуется учётная запись партнёра.
Для проблем веб- и FTP-служб вендор советует отключать их там, где они не нужны. Для CVE-2026-89208 остаётся сегментация сети: контроллеры размещают за правильно настроенными шлюзами и межсетевыми экранами. Общее требование Siemens - ограничить сетевой доступ к устройствам и держать их в защищённом контуре. Для Desigo PXC и PXM, а также для устаревших APOGEE MBC и MEC обновлений нет, поэтому помогают только организационные меры.
Контроллеры автоматизации зданий обновляют редко: они работают годами, а доступ к ним нередко открыт из общей корпоративной сети. Пять уязвимостей в линейках APOGEE, TALON и Desigo показывают, зачем таким устройствам нужен отдельный сегмент сети и плановые обновления.
Ссылки
