Критическая уязвимость в ПО Delta DIAView угрожает промышленной автоматизации

В начале 2026 года в Банке данных угроз (BDU) была зарегистрирована новая критическая уязвимость, затрагивающая программное обеспечение для сбора данных и управления промышленными процессами. Речь идет о системе DIAView от компании Delta Electronics, широко используемой в системах диспетчеризации и контроля на производственных предприятиях и объектах критической инфраструктуры. Уязвимость, получившая идентификаторы BDU:2026-00522 и CVE-2025-62581, связана с фундаментальной ошибкой проектирования и оценивается экспертами по кибербезопасности как представляющая чрезвычайно высокий риск.

Детали уязвимости

Суть проблемы кроется в так называемом жестком кодировании криптографического ключа. Иначе говоря, разработчики встроили в программный код статический, неизменяемый криптографический ключ, который используется для защиты чувствительных данных или процессов аутентификации. Подобная практика, классифицируемая в каталоге слабостей CWE как CWE-321, считается грубой архитектурной ошибкой. По сути, этот ключ становится общим секретом для всех экземпляров программы DIAView версий до 4.3.1 включительно. Следовательно, любой злоумышленник, который сможет его извлечь из дистрибутива ПО, получает универсальный инструмент для атаки.

Опасность этой уязвимости ярко иллюстрируется ее максимально высокими оценками по шкале CVSS. Базовая оценка по методологии CVSS 2.0 составляет 10.0 из 10.0, а по более современной CVSS 3.1 - 9.8. Такие цифры присваиваются лишь тем уязвимостям, эксплуатация которых не требует от атакующего специальных условий или привилегий и может привести к катастрофическим последствиям. Векторы атаки, обозначенные как AV:N/AC:L/PR:N/UI:N, означают, что атака возможна через сеть, с низкой сложностью, без необходимости аутентификации и взаимодействия с пользователем. Проще говоря, уязвимую систему можно скомпрометировать удаленно, полностью автоматически.

Эксплуатация CVE-2025-62581 открывает перед киберпреступниками или враждебными APT-группами широкие возможности. Основным указанным вектором является нарушение аутентификации. Используя известный жестко закодированный ключ, злоумышленник может обойти механизмы проверки подлинности и получить несанкционированный доступ к системе DIAView. В результате под угрозу попадают все три ключевых принципа информационной безопасности: конфиденциальность, целостность и доступность. Атакующие могут похищать критически важные технологические данные, вносить вредоносные изменения в логику управления процессами или полностью блокировать работу панели управления, что способно привести к остановке производства, порче оборудования или даже созданию аварийных ситуаций.

Особую тревогу вызывает тот факт, что DIAView используется в контурах промышленной автоматизации, которые исторически часто изолированы от интернета. Однако практика показывает, что границы таких сетей не являются абсолютно непроницаемыми. Например, заражение может произойти через инфицированные USB-носители, ноутбуки обслуживающего персонала или ошибочно установленные соединения. После первоначального проникновения в промышленную сеть, уязвимость с таким высоким рейтингом CVSS становится идеальной точкой для горизонтального перемещения и закрепления (persistence) в системе. Угроза дополняется тем, что на момент публикации сведений в BDU наличие публичных эксплойтов уточняется, что оставляет организациям крайне мало времени на реакцию.

К счастью, ситуация не является безнадежной. Производитель, Delta Electronics, подтвердил наличие уязвимости и уже выпустил исправление. Согласно информации в BDU, уязвимость была устранена. Единственной эффективной мерой защиты является незамедлительное обновление программного обеспечения до версии, следующей за 4.3.1. Компания опубликовала бюллетень безопасности (Delta-PCSA-2026-00001), в котором содержатся детальные технические рекомендации по обновлению и, возможно, методы временной компенсации рисков. Системным администраторам и инженерам по кибербезопасности на промышленных объектах настоятельно рекомендуется обратиться к этому документу и проверить все развернутые экземпляры DIAView.

Таким образом, инцидент с CVE-2025-62581 служит очередным серьезным напоминанием для всего сектора операционных технологий. Критически важно внедрять регулярные циклы обновлений и управления уязвимостями даже для систем, которые считаются изолированными. Архитектурные ошибки, подобные жесткому кодированию ключей, создают системные риски, которые невозможно устранить простыми настройками брандмауэра. Своевременная установка патчей остается самым надежным способом защиты от потенциально разрушительных кибератак на объекты промышленности и критической инфраструктуры.

Детали уязвимости

Ссылки