Vulnerabilidades Críticas em Produtos Schneider Electric Expõem Sistemas Industriais a Riscos
Schneider Electric lança atualizações para corrigir falhas críticas em produtos EcoStruxure e outros sistemas industriais, que podem permitir execução remota de código e ataques DoS.
Schneider Electric Aborda Múltiplas Vulnerabilidades Críticas em Produtos Industriais
Madrid, Espanha – 11 de fevereiro de 2026 – A Schneider Electric lançou atualizações de segurança para corrigir diversas vulnerabilidades em seus produtos EcoStruxure e outros sistemas industriais, que poderiam permitir que atacantes executassem código arbitrário, escalassem privilégios ou causassem condições de negação de serviço (DoS). As falhas, divulgadas pelo INCIBE-CERT da Espanha, afetam sistemas amplamente utilizados em setores de infraestrutura crítica.
Detalhes Técnicos das Vulnerabilidades
As vulnerabilidades incluem:
- CVE-2026-XXXX1 (CVSS 9.1): Uma falha de execução remota de código (RCE) no EcoStruxure Operator Terminal Expert, devido à validação inadequada de entrada.
- CVE-2026-XXXX2 (CVSS 8.8): Uma vulnerabilidade de escalada de privilégios no EcoStruxure Power Monitoring Expert, decorrente de permissões de arquivo inseguras.
- CVE-2026-XXXX3 (CVSS 7.5): Uma vulnerabilidade de DoS nos controladores Modicon da Schneider Electric, desencadeada por pacotes de rede malformados.
- CVE-2026-XXXX4 (CVSS 6.5): Uma falha de divulgação de informações no EcoStruxure Building Operation, expondo dados sensíveis de configuração.
Essas vulnerabilidades afetam múltiplas versões de software e firmware da Schneider Electric, incluindo:
- EcoStruxure Operator Terminal Expert (versões anteriores à 3.2.1)
- EcoStruxure Power Monitoring Expert (versões anteriores à 9.0.1)
- Controladores Modicon M580 e M340 (versões de firmware anteriores à 3.10)
- EcoStruxure Building Operation (versões anteriores à 4.0.3)
Análise de Impacto
A exploração bem-sucedida dessas vulnerabilidades pode ter consequências graves em ambientes industriais, incluindo:
- Controle não autorizado de sistemas de tecnologia operacional (OT), levando a possíveis danos físicos ou riscos à segurança.
- Interrupção de serviços críticos, como distribuição de energia, gerenciamento predial ou processos de manufatura.
- Vazamentos de dados, expondo informações operacionais ou de configuração sensíveis a atacantes.
Dada a ampla utilização dos produtos Schneider Electric nos setores de energia, água e manufatura, essas falhas representam um risco significativo para a infraestrutura crítica.
Recomendações para Equipes de Segurança
A Schneider Electric lançou patches para todos os produtos afetados. As equipes de segurança são aconselhadas a:
- Aplicar atualizações imediatamente para mitigar a exposição a essas vulnerabilidades.
- Isolar sistemas vulneráveis de redes não confiáveis até que os patches sejam implantados.
- Monitorar atividades suspeitas, especialmente em ambientes OT onde os produtos Schneider Electric estão implantados.
- Revisar controles de acesso para limitar privilégios e reduzir a superfície de ataque.
- Realizar uma avaliação de risco para avaliar os potenciais impactos nas operações industriais.
Para informações detalhadas sobre os patches, consulte o comunicado oficial de segurança da Schneider Electric.
O INCIBE-CERT classificou este alerta como de alta gravidade e insta as organizações a priorizarem os esforços de remediação para evitar exploração.