Встроенное ПО серии TRO600 от Hitachi Energy содержит несколько уязвимостей, из-за которых устройство отдаёт наружу конфигурацию и пароли. Одна из них не требует входа в систему, поэтому прочитать файлы на устройстве может любой, у кого есть сетевой доступ. Вторая работает только после аутентификации, зато открывает доступ к службам, рассчитанным на обращения с самого устройства. Затронуты ветки 9.1 и 9.2.
Отсутствие аутентификации и доступ к локальным службам
Обе проблемы вендор подтвердил и закрыл исправлениями, поэтому речь идёт о готовых к установке версиях, а не о промежуточной проверке. Нашли уязвимости специалисты самой Hitachi Energy и передали данные в CISA, американское агентство по кибербезопасности и защите инфраструктуры. Уведомление Hitachi Energy PSIRT 8DBD000224 вышло 27 октября 2026 года, а через два дня агентство опубликовало вторую редакцию документа у себя на сайте. В перечне затронутых сборок прошивки до 9.2.1.6 и до 9.1.1.0; в записях CVE фигурирует одна линейка - TRO600 Series Firmware.
Первая уязвимость, CVE-2026-106087, - чтение произвольных файлов. Проверка подлинности для такой операции не нужна: запрос приходит по сети, учётные данные не требуются, участие пользователя тоже. Формально слабость описана как отсутствие аутентификации для критичной функции. Наружу уходят служебные файлы, включая конфигурацию и данные паролей. Оценка вендора - 7.5 из 10 по версии 3.1, уровень High по его классификации.
Вторая уязвимость, CVE-2026-10756, требует действующей учётной записи. Атакующий с такой записью настраивает перенаправление портов и через него обращается к портам, привязанным к локальному интерфейсу. Локально привязанный порт снаружи не виден, и перенаправление снимает этот барьер. Так он обходит сетевые ограничения и добирается до функций, доступных только с самого устройства.
Описание слабости здесь иное: канал связи ограничен недостаточно, то есть устройство не проверяет, откуда именно пришёл запрос. Сложность атаки вендор считает высокой, а уровень - High. Последствия - доступ к конфиденциальным данным и влияние на доступность служб.
Исправление вышло в версии 9.2.2.1, её вендор называет целевой для обеих ветвей. Для линии 9.1 есть отдельная версия 9.1.2.0, где закрыта проблема с чтением файлов. Обновиться до 9.2.2.1 предлагают и тем, кто остался на 9.1. В записях CVE исправленная версия не проставлена, поэтому номер берут из уведомления PSIRT 8DBD000224.
Сведений об эксплуатации в реальных атаках уведомление не содержит. В оценке SSVC (Stakeholder-Specific Vulnerability Categorization, категоризация уязвимостей под задачи конкретной организации) вендор отмечает отсутствие эксплуатации. Обходных мер он не приводит, поэтому остаются обновление и отслеживание публикаций PSIRT. Конфигурации TRO600, не попавшие в перечень, в записях CVE помечены как незатронутые по умолчанию; это предварительный признак, а не подтверждённая безопасность.
Устройства серии применяют в энергетике, развёрнуты они по всему миру, а штаб-квартира Hitachi Energy находится в Швейцарии. Пока исправление не установлено, выставлять такие устройства в интернет не следует. CISA советует держать сети управления за межсетевым экраном и отделять их от корпоративного сегмента. Вендор напоминает, что АСУ ТП (автоматизированные системы управления технологическими процессами) не рассчитаны на работу с интернетом, электронной почтой и непроверенными съёмными носителями. Для удалённого доступа подходит VPN (virtual private network, защищённый туннель), но само средство доступа тоже требует свежей версии.
Ценность этих уязвимостей для атакующего неодинакова. Чтение файлов не требует учётных данных, поэтому именно оно даёт первый доступ к конфигурации и паролям. Вторая проблема работает изнутри уже полученного доступа и расширяет его. Обе закрыты в 9.2.2.1, поэтому одно обновление снимает и ту, и другую.
Ссылки
