Критическая уязвимость в системах экстренного оповещения Zenitel VS-IS угрожает объектам критической инфраструктуры

В конце декабря 2025 года в Банке данных угроз безопасности информации (BDU) была зарегистрирована новая критическая уязвимость. Она затрагивает системы внутренней связи и экстренного оповещения VS-IS, производимые норвежской компанией Zenitel. Эксперты присвоили уязвимости максимальный уровень опасности, поскольку она позволяет удаленному злоумышленнику получить полный контроль над устройством. Данные системы часто используются на промышленных предприятиях, транспортных узлах и других объектах критической информационной инфраструктуры, что повышает потенциальные риски.

Детали уязвимости

Технически проблема получила идентификатор CVE-2025-64090. Она классифицируется как "непринятие мер по очистке данных на управляющем уровне". Проще говоря, в программном обеспечении устройства отсутствует должная проверка вводимых пользователем данных. Следовательно, атакующий может внедрить и выполнить произвольные операционные команды. Этот тип атаки известен как "инъекция команд". В результате злоумышленник способен скомпрометировать устройство, украсть конфиденциальные данные, нарушить работу систем связи или обеспечить себе постоянное присутствие (persistence) в сети для дальнейших атак.

Уязвимость затрагивает все версии программного обеспечения VS-IS до 9.3.3.1, а также версии до 8.2.3.5 для платформы TCIV. Оценка по стандартам CVSS 2.0 и CVSS 3.1 дала максимально возможный балл - 10.0. Такая высокая оценка обусловлена тем, что для эксплуатации уязвимости не требуются аутентификация или участие пользователя. Более того, атака может быть проведена удаленно через сеть. Системы VS-IS, будучи компонентами АСУ ТП, зачастую интегрированы в корпоративные и технологические сети. Поэтому успешная атака может открыть путь для горизонтального перемещения по инфраструктуре организации.

Производитель Zenitel подтвердил наличие проблемы и выпустил официальное уведомление о безопасности. Компания рекомендует всем клиентам как можно скорее обновить программное обеспечение до исправленных версий. Однако в рекомендациях BDU содержится важная оговорка. В связи с действующими санкциями против Российской Федерации установка обновлений из иностранных источников должна производиться только после тщательной оценки всех сопутствующих рисков. Это стандартная практика для импортного оборудования в текущих геополитических условиях.

При этом важно отметить, что уязвимость уже устранена производителем. Следовательно, основным способом защиты является установка официального патча. Если немедленное обновление по каким-либо причинам невозможно, специалисты по кибербезопасности предлагают ряд компенсирующих мер. Прежде всего, необходимо обеспечить строгое сегментирование сети. Уязвимые устройства должны быть изолированы в отдельных сегментах, доступ к которым ограничен. Кроме того, критически важно использовать межсетевые экраны для блокировки любых попыток удаленного доступа к устройствам VS-IS из интернета.

Дополнительной защитной мерой может стать организация удаленного доступа к таким системам исключительно через защищенные виртуальные частные сети (VPN). Это значительно усложнит задачу для потенциальных атакующих. На данный момент информация о наличии публичных эксплойтов или фактах активной эксплуатации уязвимости уточняется.

Системы экстренного оповещения и внутренней связи являются критически важными элементами безопасности на многих объектах. Их компрометация может привести не только к утечке данных, но и к сбоям в работе систем оповещения при чрезвычайных ситуациях. Поэтому инциденты с таким оборудованием всегда находятся под пристальным вниманием регуляторов и SOC. Специалисты рекомендуют администраторам, использующим решения Zenitel VS-IS, немедленно свериться с версиями своего ПО. В случае попадания в уязвимый диапазон необходимо незамедлительно приступить к планированию и тестированию обновления в соответствии с политиками безопасности организации и действующими ограничениями.

Детали уязвимости

Ссылки