Vulnerabilidades Críticas no DIAView da Delta Electronics Expondo Sistemas Industriais a Ataques
INCIBE-CERT alerta para falhas graves no software DIAView da Delta Electronics, permitindo execução remota de código e acesso não autorizado a sistemas industriais.
Falhas Críticas no Delta Electronics DIAView Exigem Correção Imediata
Madrid, Espanha – 19 de janeiro de 2026 – O Instituto Nacional de Cibersegurança da Espanha (INCIBE-CERT) emitiu um alerta urgente sobre múltiplas vulnerabilidades de alta gravidade no software Delta Electronics DIAView, uma solução amplamente utilizada em automação industrial. As falhas, se exploradas, podem permitir que agentes maliciosos executem código remoto, escalem privilégios ou acessem dados sensíveis em ambientes de infraestrutura crítica.
Detalhes Técnicos das Vulnerabilidades
As vulnerabilidades afetam versões do DIAView anteriores à 1.2.1.0, com os seguintes problemas críticos identificados:
- CVE-2023-5932: Validação Incorreta de Entrada (CVSS 9.8) – Permite que atacantes remotos executem código arbitrário por meio de pacotes de rede manipulados.
- CVE-2023-5933: Traversal de Caminho (CVSS 8.6) – Possibilita acesso não autorizado a arquivos e potencial exfiltração de dados.
- CVE-2023-5934: Desserialização Insegura (CVSS 8.1) – Pode levar à execução remota de código (RCE) ou condições de negação de serviço (DoS).
- CVE-2023-5935: Credenciais Hardcoded (CVSS 7.5) – Expõe credenciais padrão, permitindo acesso não autorizado ao sistema.
Essas falhas decorrem de sanitização inadequada de entradas, controles de acesso impróprios e práticas de codificação inseguras no software DIAView, comumente implantado em instalações de manufatura, energia e tratamento de água.
Análise de Impacto
A exploração bem-sucedida dessas vulnerabilidades pode resultar em:
- Execução remota de código (RCE) em sistemas afetados, permitindo controle total sobre processos industriais.
- Acesso não autorizado a dados, incluindo arquivos operacionais e de configuração sensíveis.
- Interrupção de serviços críticos, levando a potenciais riscos de segurança em ambientes industriais.
- Movimentação lateral dentro de redes OT, ampliando a superfície de ataque.
Dada a integração do software com sistemas SCADA e HMI, os riscos vão além de violações de dados, podendo causar interrupções operacionais físicas.
Ações Recomendadas
O INCIBE-CERT insta as organizações que utilizam o DIAView a:
- Aplicar o patch mais recente (v1.2.1.0 ou superior) imediatamente para mitigar todas as vulnerabilidades identificadas.
- Isolar os sistemas afetados de redes não confiáveis até que os patches sejam implantados.
- Monitorar atividades suspeitas, especialmente tráfego de rede incomum ou tentativas de acesso não autorizado.
- Revisar e rotacionar credenciais, garantindo que nenhuma senha padrão ou hardcoded permaneça em uso.
- Realizar uma auditoria de segurança em sistemas de controle industrial (ICS) para identificar pontos adicionais de exposição.
A Delta Electronics divulgou um comunicado de segurança (link) com detalhes sobre o patch e orientações de mitigação. As organizações são aconselhadas a priorizar as atualizações devido à alta gravidade e aos riscos de exploração ativa associados a essas falhas.
Para mais detalhes, consulte o comunicado do INCIBE-CERT.