Schneider Electric предупредила об уязвимости CVE-2026-102250 в устройствах серии SAGE RTU, которые применяют на подстанциях для сбора данных и управления оборудованием. Во время обновления контроллер не проверяет подлинность полученной прошивки, поэтому администратор с расширенными правами может записать в устройство изменённую встроенную программу и получить над ним контроль. Под удар попадают все версии SAGE RTU 1410, 1430, 1450, 2400, 3030 Magnum и 4400 младше C3414-500-S02L0. Вендор оценил проблему в 8.6 по шкале CVSS 4.0, уровень High; по предыдущей версии методики CVSS 3.1 рейтинг составляет 7.2.
CVE-2026-102250 в контроллерах Schneider Electric
Недостаток относится к классу слабой проверки подлинности данных, CWE-345. Простыми словами, устройство принимает файл прошивки, не убедившись, что его подготовил производитель и что содержимое не изменено по дороге к подстанции. Обновление запускает авторизованный администратор, и внешний злоумышленник сам такую операцию не проведёт. Но специалист может ошибиться, действовать из корысти или работать с уже скомпрометированной учётной записью. Тогда изменённая прошивка встанет на контроллер, и поведение узла станет другим.
Последствия выходят за рамки одного устройства. SAGE RTU управляют коммутационными аппаратами и передают телеметрию в диспетчерский центр. Подменённая прошивка позволяет менять уставки, искажать показания датчиков, отключать и включать присоединения. Диспетчер при этом видит нормальную картину и не понимает, что часть данных подделана. Для энергетики такой сценарий означает риск повреждения оборудования и нарушения режима работы сети.
Аппаратуру этой серии ставят на подстанциях много лет, и замена парка идёт медленно. Уязвимость нашли исследователи программы CyTRICS Министерства энергетики США из Лоуренс-Ливерморской национальной лаборатории и лаборатории Сандия. Сведений о применении проблемы в реальных атаках бюллетень не приводит, тема пока остаётся вопросом качества обновления прошивок, а не отчётом об эксплуатации.
Исправление вышло в версии C3414-500-S02L0 - она доступна для скачивания на сайте вендора. После установки контроллеру нужна перезагрузка, то есть короткий перерыв в работе узла. Это стоит заранее согласовать с диспетчерской службой и провести в технологическое окно. После обновления откройте страницу конфигурации процессора и убедитесь, что номер версии прошивки сменился. Патч перед развёртыванием на действующем объекте имеет смысл опробовать на стенде или на отключённом оборудовании, а перед установкой сделать резервную копию конфигурации.
До обновления снизить риск помогают несколько мер. Рабочие протоколы контроллеров стоит отсечь от корпоративной сети и от интернета, оставив их доступными только внутри технологического сегмента за межсетевым экраном. Шкафы с оборудованием закрывайте на замок, а доступ к ним ограничьте по списку персонала. Устройства не оставляйте в режиме программирования. Съёмные носители, ноутбуки и любые средства обмена данными проверяйте на вредоносное ПО до подключения к технологической сети. Для удалённого доступа используйте VPN актуальной версии и помните, что его стойкость определяется защищённостью подключённых устройств.
Ситуация показывает, где сосредоточены риски промышленной автоматизации. Проверка цифровой подписи прошивки становится такой же обязательной функцией контроллера, как и защита от сетевых атак. До появления такой проверки обновление оборудования остаётся операцией, которую нужно контролировать вручную и проводить только через доверенные каналы.
Ссылки
