PLCnext Engineer - среда разработки для промышленных контроллеров PLCnext, которую инженеры используют при сборке, проверке и вводе в эксплуатацию разных проектов автоматизации на производстве. В этой среде нашли несколько уязвимостей, которые затрагивают импорт описаний устройств, установку подключаемых модулей и работу с файлами плагинов на рабочем месте инженера. Они позволяют подменить описание устройства в промышленной сети PROFINET, выполнить произвольный код при развёртывании плагина и записать файлы за пределы каталога плагинов без специальных прав. Затронуты инженеры, которые открывают в среде сторонние библиотеки, пакеты плагинов и описания устройств от внешних поставщиков и не проверяют их происхождение вручную в своей работе.
Уязвимости в PLCnext Engineer
Для проектов автоматизации описание устройства задаёт обмен с полевыми приборами, набор модулей и пределы допустимых технологических параметров, а ошибка в нём может проявиться на этапе пусконаладки. Подмена такого описания ведёт к неверным настройкам оборудования, а установка чужого плагина без предупреждения открывает доступ к данным инженерного проекта и системе инженера. На рабочих местах с общими каталогами риск возрастает: атака идёт локально, учётные данные и участие пользователя не нужны. Оценки по шкале CVSS 3.1, системе оценки опасности уязвимостей, достигают 8.4 балла, а у уязвимости с проверкой подписи - 6.2. Сведений об эксплуатации этих уязвимостей в реальных атаках в уведомлении нет, поэтому приоритет зависит от политики обновления конкретной организации.
GSDX - подписанный пакет с описанием устройства PROFINET, а GSDML - сам файл описания устройства с модулями, параметрами и настройками обмена. В проверке GSDX среда сверяет контрольные суммы списка файлов пакета, но не проверяет криптографическую подпись самого описания по открытому ключу подписанта. Поэтому локальный атакующий может изменить описание GSDML, и оно пройдёт как действительное, а затем попадёт на контроллеры и полевые приборы без признаков подмены. В подсистеме подключаемых модулей PFI локальный атакующий может развернуть неподписанные записи архива поверх проверенных сборок, и среда затем загрузит их как код. Отдельная ошибка в разборе путей позволяет локальному атакующему через относительные пути записать файлы за пределы каталога плагинов в места, доступные текущему пользователю с его правами.
Исправление вышло в версии PLCnext Engineer 2026.6, и вендор рекомендует обновиться до неё сразу всем пользователям уязвимых версий продукта без исключения. Если автоматическое обновление отключено, установку 2026.6 нужно выполнить вручную и убедиться, что версия продукта обновилась. До обновления Phoenix Contact советует ставить плагины только из доверенных источников и проверенных инженерных библиотек, а не из случайных архивов. Для GSDX вендор предлагает проверять подпись внешними инструментами самостоятельно, а не полагаться на встроенную проверку пакета до импорта описания в проект. Уведомление VDE-2026-121 описывает уязвимости и конкретные меры защиты для администраторов и инженеров, отвечающих за такие системы на производстве.
Для защищённости продукта эти исправления закрывают путь к подмене описаний устройств и загрузке чужого кода на рабочем месте самого инженера. После обновления проверка подписи и разбор путей должны стать частью доверенной цепочки поставки пакетов для всех загружаемых пакетов. Пока этого нет, рабочее место остаётся точкой, где сторонний пакет может повлиять на конкретный проект и оборудование, особенно на предприятиях с внешними подрядчиками. Других обходных мер в уведомлении нет, кроме проверки подписи внешними средствами и ограничения источников плагинов.
Ссылки
