В прошивке Hitachi Energy RTU500 series CMU есть уязвимости, которые ведут к отказу в обслуживании и раскрытию учётных данных. Эти уязвимости затрагивают операторов энергообъектов по всему миру. Одна из них, CVE-2026-6653, получает 8,8 по шкале оценки уязвимостей CVSS. Для второй, CVE-2026-28388, оценка составляет 7,5. Устройства RTU500 собирают данные и управляют оборудованием на энергообъектах.
Компоненты RTU500 с уязвимостями в коде, OpenSSL, libcurl и libxml2
Уязвимы прошивки 12.7.1-12.7.7; 13.5.1-13.5.4; 13.6.1-13.6.3; 13.7.1-13.7.8 и 13.8.1-13.8.2. Бюллетень Hitachi Energy вышел 1 сентября 2026 года. В обновлении от 29 сентября появилась исправленная версия 12.7.8. Агентство по кибербезопасности и защите инфраструктуры США (CISA) перепечатало документ 20 октября 2026 года. Сведений об эксплуатации в реальных атаках в бюллетене нет. При этом оценки лежат в диапазоне от 5,3 до 8,8 по CVSS. Часть уязвимостей имеет средний уровень, часть высокий.
Отказ в обслуживании через IEC 60870-5-104 и OpenSSL
Уязвимость в собственном коде RTU500 проявляется при высокой нагрузке. Частые запросы общего опроса (GI) в протоколе IEC 60870-5-104 приводят к разыменованию нулевого указателя в последней записи очереди сообщений. Затем возникает ошибка записи, соединение обрывается, устройство перезапускается. В результате связь по IEC 60870-5-104 перестаёт работать в обе стороны. Протокол передаёт данные измерений и команды управления на энергообъектах, поэтому перерыв в связи затрагивает диспетчерский контроль.
Вторая уязвимость связана с криптографической библиотекой OpenSSL, которую RTU500 использует для HTTPS и защищённых соединений. Повреждённый разностный список отзыва сертификатов без обязательного номера списка вызывает разыменование нулевого указателя при проверке сертификата X.509. Для атаки нужно включить обработку разностных списков, иметь указание на свежий список в сертификате и передать повреждённый список. Эта уязвимость приводит только к отказу в обслуживании. Однако выполнить код или прочитать память через неё нельзя, по описанию Hitachi Energy. Оценка CVE-2026-28388 составляет 7,5, высокий уровень.
XML-сервисы RTU500 с уязвимостями libxml2
XML-сервисы RTU500 обрабатывают документы, которые проходят проверку по схеме. Специально сформированный документ запускает путаницу типов в библиотеке разбора XML libxml2. Библиотека неверно определяет тип объекта и затем вызывает отказ в обслуживании. При обработке внутренних сущностей XML вторая уязвимость приводит к использованию памяти после освобождения. Программа обращается к участку памяти, который уже освободила, поэтому удалённый злоумышленник может вызвать отказ в обслуживании. Оценки двух уязвимостей составляют 7,5 и 8,8 по CVSS, высокий уровень.
libcurl с уязвимостями и утечкой учётных данных
Веб-интерфейс управления и сервисы RTU500 используют библиотеку HTTP-запросов libcurl. Пять уязвимостей в ней приводят к утечке учётных данных между узлами. При повторном использовании одного соединения данные состояния сессии (cookie) одного узла могут уйти другому. После дайджест-аутентификации (проверка подлинности с хешированием пароля) библиотека иногда отправляет заголовок авторизации второму узлу. Кроме того, данные аутентификации на прокси-сервере остаются в памяти и применяются в следующем запросе. После смены клиентского сертификата или закрытого ключа libcurl может повторно использовать старое соединение и обойти настроенную взаимную аутентификацию TLS (протокол защищённых соединений). Часть этих уязвимостей имеет средний уровень 5,3; часть высокий уровень 7,5 и 8,1.
Что сделать с прошивкой RTU500
Обновить прошивку до версии 13.9.1. Веткам 13.5.x и 13.6.x нужна именно 13.9.1. Ветка 13.7.x получает 13.9.1 или 13.7.9, когда она выйдет. Для 13.8.x доступны 13.9.1 или 13.8.3. Пользователям 12.7.x нужна версия 12.7.8 или переход на 13.9.1. Если обновление невозможно, ограничить доступ к веб-интерфейсу и портам IEC 60870-5-104. Устройства разместить за межсетевым экраном и отделить от корпоративной сети. Удалённый доступ строить через виртуальную частную сеть (VPN) и обновлять её. Проверить, что сети управления не выходят в интернет.
Для энергетики риск накапливается вместе со сторонними библиотеками в прошивке. RTU500 служит годами, поэтому отставание OpenSSL, libcurl и libxml2 от исправлений продлевает период, когда уязвимости можно использовать. Управление исправлениями для таких устройств требует плана на весь срок службы, а не разовой загрузки обновления.
Ссылки
