В SMTP-клиенте lwIP нашли уязвимость, из-за которой устройство может упасть, а в худшем случае удалённо перейдёт под контроль злоумышленника. Проблеме присвоили идентификатор CVE-2026-15340 и оценку 9.8 по шкале CVSS (система оценки серьёзности уязвимостей). Уязвимая версия - lwIP SMTP client 2.2.1. Речь о встраиваемых и промышленных системах, которые отправляют почтовые уведомления через этот сетевой стек.
Уязвимость CVE-2026-15340
Причина ошибки - отсутствие проверки размера входных данных. Клиент принимает строки по протоколу SMTP (протокол отправки электронной почты) и копирует их во внутренний буфер, не сверяя длину с его объёмом. Как только данных оказывается больше отведённого места, лишние байты уходят за границу памяти. Это классическое переполнение буфера: посторонние данные затирают соседние области, а туда можно подставить чужой код. Отсюда два следствия. Устройство либо падает, либо начинает выполнять команды атакующего. Первое называют отказом в обслуживании, второе - удалённым выполнением кода.
Буфер представляет собой участок памяти фиксированного размера для временного хранения данных. Пока объём совпадает с ожидаемым, всё работает предсказуемо. Стоит записи выйти за границы, и поведение программы перестаёт быть надёжным: она может упасть сразу, а может продолжить работу с испорченными данными. Такая непредсказуемость делает переполнение буфера удобным инструментом для атак. Встраиваемые системы уязвимы сильнее обычных компьютеров. Их нередко лишают современных механизмов защиты памяти, а прошивку нельзя обновить по щелчку.
Сам lwIP - компактный сетевой стек для оборудования без полноценной операционной системы. Его встраивают в датчики, контроллеры, счётчики, медицинские приборы, телекоммуникационные шлюзы. Почтовый клиент нужен таким устройствам для служебной переписки: отчётов, уведомлений о сбоях, диагностических сообщений. По классификации CISA (Агентство по кибербезопасности и защите инфраструктуры США) речь идёт о критически важных секторах - энергетике и системах водоснабжения и водоотведения. География применения - весь мир, а разработчика называют шведским.
Отдельного пароля или учётной записи для атаки не требуется. Проверки размера нет вовсе, поэтому подходящие данные клиент обработает без возражений. Всё решает доступность устройства. Если почтовый клиент открыт из внешней сети, сработать можно удалённо, без физического доступа к железу. Оценка 9.8 по шкале CVSS указывает на высокий уровень угрозы. Потому CISA и включила проблему в бюллетень для промышленных систем, а не отнесла её к рядовым ошибкам прикладного программного обеспечения.
Круг затронутых пользователей широкий. Напрямую его составляют производители, которые включают сетевой стек в свои изделия, и интеграторы, собирающие из этих изделий готовые системы. Косвенно страдают операторы инфраструктуры: энергетики, водоканалы, промышленные предприятия. Медицина, транспорт и связь тоже в зоне риска. Уязвимость даёт о себе знать везде, где в устройстве есть сетевой интерфейс и функция отправки писем.
Нашла ошибку исследовательская группа xchglabs. Информацию передали напрямую в проект Savannah, а публично раскрыли уже после появления исправления. Такой порядок даёт разработчикам время подготовить правку до того, как детали станут известны широкой публике. Бюллетень опубликован 6 октября 2026 года, это его первая редакция. Сведений об эксплуатации в реальных атаках документ не приводит.
Исправление уже есть, вопрос в том, как быстро оно доберётся до устройств. Пользователям стоит проверить, на какой версии стека собрана прошивка. Если это 2.2.1, нужен переход на актуальный выпуск. На практике обновление встраиваемого оборудования зависит от вендора: кто-то выпускает прошивки регулярно, а кто-то годами не меняет сборку. Многие приборы работают в поле по десять лет, и менять их никто не станет.
Практическая проверка проста. Сначала выясняют, какой стек используется в оборудовании и включён ли почтовый клиент. Часто его оставляют активным по умолчанию, хотя он не нужен. Отключение неиспользуемой функции уменьшает поверхность атаки без всякого патча. Параллельно стоит следить за аномалиями в промышленной сети. Необычные подключения к устройствам и внезапные перезагрузки могут указывать на попытку эксплуатации.
До появления прошивки CISA советует сократить сетевую доступность устройств управления и не выставлять их в интернет. Сети технологического сегмента, то есть автоматизированные системы управления технологическими процессами (АСУ ТП), лучше держать за межсетевыми экранами и отделять от корпоративной инфраструктуры. Удалённый доступ агентство предлагает строить через VPN (виртуальную частную сеть), помня, что её стойкость не выше, чем у подключённого устройства. Перед введением ограничений CISA просит оценить последствия: резкое отключение сегмента способно остановить производство. Дополнительные материалы по защите промышленных систем собраны в разделе ICS (промышленные системы управления) на сайте cisa.gov/ics.
Ошибки в базовых сетевых библиотеках редко остаются локальной историей. Один и тот же код расходится по тысячам прошивок у десятков производителей, и каждый вендор отвечает за свой участок работы. Переполнение буфера в почтовом клиенте выглядит частным случаем, пока не выяснится, что клиент встроен в оборудование энергетики и водоканалов. Здесь и проявляется главный риск подобных уязвимостей: правка готова, но парк устройств обновляется медленнее, чем выходят новые версии. Изоляция сетей, отказ от прямой доступности промышленных узлов из интернета и контроль версий стека при закупке оборудования снижают вероятность тяжёлого сценария заметно сильнее, чем любые экстренные меры после раскрытия.
Ссылки
