Siemens подтвердил уязвимость записи за границами буфера в WibuKey, стороннем компоненте лицензирования, который использует PSS SINCAL. Эксплуатация приводит к аварийному завершению системы, то есть к отказу в обслуживании. Затронуты ветки V21.5, V22.0 и V22.5, причём для последней исправление уже выпущено. Продукт уязвим только тогда, когда настроен на устаревший тип лицензии с аппаратным ключом WibuKey.
CVE-2026-84854 в драйвере WibuKey
WibuKey - аппаратный ключ защиты, или донгл, который подтверждает право на запуск лицензированного программного обеспечения. Драйвер ключа работает в ядре, привилегированной части операционной системы, поэтому его ошибки отражаются на всей машине. При расчёте размера буфера ядра драйвер недостаточно проверяет ввод, который приходит из пользовательского процесса. В результате небольшие объёмы данных попадают за границы выделенного участка памяти, а в неблагоприятных условиях меняется и соседняя память ядра. О выполнении произвольного кода уведомление не говорит: описаны только запись данных и возможное изменение памяти.
Атака идёт с локального доступа, по сети её не провести. Нужна обычная учётная запись на самой машине, без администраторских прав, а участие пользователя не требуется. Сложность атаки Siemens оценивает как высокую: попасть точно в нужный участок памяти трудно. По шкале CVSS, общей системе оценки уязвимостей, оценка - 7 из 10, уровень High; под угрозой конфиденциальность, целостность и доступность.
Все три ветки уведомление относит к подтверждённо уязвимым: Siemens проверил их и подтвердил наличие проблемы. Расхождений между списками нет. Область ограничена конфигурациями с устаревшим типом лицензии WibuKey, другие варианты лицензирования в уведомлении не описаны.
Для V22.5 исправление есть: обновление до V22.5 Update 5 или более новой версии. Для V21.5 и V22.0 исправления нет, и Siemens говорит об этом прямо. Обходная мера одна - вручную установить WibuKey Runtime for Windows 6.72 или более новую версию от WIBU Systems; по указанию вендора эта версия закрывает ошибку. Пакет скачивают с сайта WIBU Systems и ставят по инструкции вендора, других обходных мер Siemens не называет. Обновление самого продукта и обновление драйвера ключа - разные действия, и для V21.5 с V22.0 доступно только второе.
Сведений об эксплуатации в реальных атаках в уведомлении нет. Публикация технических деталей означает, что они доступны, но не что уязвимость уже используют. Вектор атаки описан как локальный, удалённая эксплуатация по сети из него не вытекает.
Уведомление опубликовано 13 октября 2026 года, 22 октября вышла его вторая редакция. Это дословная перепубликация Siemens ProductCERT SSA-148322 в разделе CISA по промышленным системам управления; вопросы по содержанию адресуют Siemens ProductCERT. По данным уведомления, продукт используют по всему миру, головной офис вендора находится в Германии.
Для промышленных систем CISA приводит общие меры. Сократить сетевую доступность устройств; разместить сети управления за межсетевым экраном и отделить их от корпоративной сети; для удалённого доступа применять VPN, виртуальную частную сеть, и обновлять его. VPN при этом защищает не сильнее, чем подключённые к нему устройства. Siemens адресует операторам критических энергосистем отдельную рекомендацию: проверять, что многоуровневые резервные схемы защиты действуют. Перед внедрением защитных мер CISA советует оценить влияние изменений и риски.
Значимость уязвимости ограничивают локальный доступ и высокая сложность атаки. Отказ в обслуживании при этом останавливает машину, где установлен PSS SINCAL. Пока для веток V21.5 и V22.0 патча нет, обновление драйвера WibuKey остаётся единственным действием для их защиты.
Ссылки
