В устройствах Siemens Industrial Edge обнаружены уязвимости обхода каталогов (path traversal). Такой приём позволяет запросу с изменённым путём выйти за пределы каталога, к которому пользователю разрешён доступ. Прошедший аутентификацию пользователь, то есть уже вошедший в систему под своей учётной записью, может через это читать внутренние интерфейсы и файлы, которые ему не предназначены. В худшем случае это ведёт к несанкционированному доступу к системе или к удалению данных.
Оценки CVSS, затронутые устройства и версии исправлений
CVSS (Common Vulnerability Scoring System) - общая шкала оценки уязвимостей, где 10 - максимум. Уязвимость CVE-2026-44414 получила 6.8 из 10, это средний уровень. Атака идёт по сети, учётная запись нужна с высокими правами, участие пользователя не требуется. Последствие - чтение служебной информации; дальнейший доступ к системе описан как худший сценарий.
Уязвимость CVE-2026-44415 описана почти той же формулировкой, но к последствиям добавлено удаление данных. Её оценка - 9.1 из 10, критический уровень. Разница объясняется тем, что вторая уязвимость в худшем случае затрагивает не только чтение, но и сохранность информации.
Siemens перечислил затронутые продукты и отметил каждый из них как затронутый. В список попали устройства Industrial Edge - облачное, собственное и виртуальное, промышленные компьютеры SIMATIC IPC, контроллеры SIMATIC IoT2050, панели оператора SIMATIC HMI и SIPLUS HMI, а также коммутаторы SCALANCE LPE9413 и LPE9433. Панель оператора - это экран, через который персонал управляет оборудованием; коммутатор - сетевое устройство, соединяющее узлы в один сегмент сети.
Для устройств Industrial Edge исправление вышло в версии 1.28.1. Промышленные компьютеры SIMATIC IPC BX-21A и контроллеры SIMATIC IoT2050 закрываются версией 1.28.1-2. Остальные модели IPC - BX-39A, BX-59A, IPC127E, IPC227E, IPC227G, IPC427E и IPC847E - нужно обновить до 3.2.0-17.
Для коммутаторов SCALANCE LPE9413 и LPE9433, а также для панелей SIMATIC HMI и SIPLUS HMI исправления нет. Siemens сообщает, что готовит их, и обещает отдельные меры для продуктов, где исправление не выйдет или выйдет позже.
Пока исправления нет, вендор называет одну меру: ограничить сетевой доступ к устройству доверенными сторонами. Других обходных мер в уведомлении не приводится. Дополнительно Siemens советует защищать сетевой доступ к оборудованию штатными механизмами и настраивать окружение по своему руководству по промышленной безопасности.
Сведений об эксплуатации этих уязвимостей в реальных атаках в уведомлении нет. Публикация уведомления означает, что технические детали доступны, а не то, что уязвимость уже используют.
Уведомление SSA-832641 выпустил Siemens ProductCERT, а CISA перепечатала его на своём сайте без изменений. Первая редакция документа вышла 13 октября 2026 года, вторая - 22 октября; это версия уведомления, а не версия исправления.
Эти уязвимости требуют учётной записи с высокими правами, поэтому внешний пользователь без доступа к системе их не применит. Риск выше на площадках, где такие учётные записи есть у подрядчиков и где оборудование видно из общей сети. До выхода исправлений единственная мера, которую называет вендор, - ограничение сетевого доступа, а для устройств с готовыми версиями - обновление.
Ссылки
