Панели оператора Pro-face STW6000 и Harmony STW6 содержат уязвимость CVE-2026-96434. Она позволяет злоумышленнику получить несанкционированный контроль над устройством. Атака начинается с обычного просмотра веб-страниц: если пользователь откроет на панели вредоносный сайт, атакующий сможет распоряжаться панелью, а работа подключённого оборудования нарушится. Schneider Electric оценила проблему в 8,8 балла по CVSS 3.1 и в 8,6 балла по CVSS 4.0. Оба показателя соответствуют высокому уровню угрозы. Затронуты все версии Pro-face STW6000 и Harmony STW6. Исправленных сборок производитель не выпустил, ограничившись компенсирующими мерами. Уведомление SEVD-2026-286-01 опубликовано 13 октября 2026 года.
CVE-2026-96434 в панелях Harmony и Pro-face
Причина уязвимости - использование неподдерживаемых сторонних компонентов, или CWE-1104. В эту категорию попадают случаи, когда производитель устройства берёт чужой программный код, сопровождение которого уже прекращено. Обновления для таких блоков не выходят, поэтому найденные в них ошибки остаются незакрытыми. Панели линеек Harmony ST6 и Pro-face ST6000 относятся к базовым веб-панелям человеко-машинного интерфейса (HMI, интерфейс между оператором и машиной). Их ставят на недорогие машины, где нужны наглядные экраны, сетевое подключение и умеренная цена.
Под угрозой промышленные предприятия и операторы станков, которые используют эти панели для управления оборудованием. Аппараты обычно стоят на производственных площадках и связаны с контроллерами, а часть компаний открывает к ним доступ из корпоративной сети или через интернет для удалённого обслуживания. Это расширяет возможности атакующего. Захват панели означает не только утечку данных, но и риск для технологического процесса: оператор теряет контроль над машиной, а линия может остановиться. Сведений об эксплуатации уязвимости в реальных атаках нет. Проблему нашли специалисты самой Schneider Electric.
Что снижает риск
Готового исправления нет, поэтому защита строится на изоляции. Панель размещают в защищённом сегменте сети и закрывают от интернета и недоверенных сетей; список сайтов, доступных для просмотра, ограничивают доверенными локальными адресами; сеть делят на сегменты и прикрывают межсетевым экраном, который блокирует несанкционированный доступ. Отдельно ограничивают съёмные носители, подлинность которых нельзя проверить. Сети управления и защиты выносят за межсетевой экран и отделяют от офисной сети, а доступ к шкафам с контроллерами ограничивают физически. Настройку поручают доверенному администратору, и доступ к панели получают только прошедшие аутентификацию пользователи. Для удалённого обслуживания Schneider Electric советует применять защищённые каналы, например VPN (виртуальная частная сеть), и следить за их актуальностью, поскольку сами такие каналы тоже уязвимы. Уровень риска зависит от среды, и заказчику предлагают отдельно оценить метрики окружения по CVSS.
Устаревшие компоненты в промышленных устройствах - давняя проблема. В ИТ-системах патчи выходят регулярно, а оборудование на производстве живёт годами, и его программная начинка устаревает быстрее, чем заканчивается срок службы. Исправления для CVE-2026-96434 нет, поэтому ответственность за защиту ложится на эксплуатирующие организации. Пока панель остаётся подключённой к сети и используется для выхода в веб, риск сохраняется. Снизить его помогают изоляция и строгий контроль доступа. Schneider Electric также предлагает подписаться на свои уведомления о безопасности, чтобы не пропустить появление новых версий и изменений в рекомендациях.
Ссылки
