Критические уязвимости в Delta Electronics DIAView угрожают безопасности промышленных систем
INCIBE-CERT предупреждает о высокорисковых уязвимостях в ПО Delta Electronics DIAView, позволяющих удалённое выполнение кода и утечку данных. Требуется срочное обновление.
Критические уязвимости в Delta Electronics DIAView требуют немедленного исправления
Мадрид, Испания – 19 января 2026 г. – Национальный институт кибербезопасности Испании (INCIBE-CERT) выпустил срочное предупреждение о множественных уязвимостях высокой степени критичности в программном обеспечении Delta Electronics DIAView, широко используемом в системах промышленной автоматизации. Эксплуатация этих уязвимостей может позволить злоумышленникам выполнять удалённый код, повышать привилегии или получать доступ к конфиденциальным данным в критически важных инфраструктурах.
Технические детали уязвимостей
Уязвимости затрагивают версии DIAView до 1.2.1.0, среди которых выявлены следующие критические проблемы:
- CVE-2023-5932: Неправильная проверка входных данных (CVSS 9.8) – позволяет удалённым атакующим выполнять произвольный код через специально сформированные сетевые пакеты.
- CVE-2023-5933: Обход каталогов (Path Traversal) (CVSS 8.6) – обеспечивает несанкционированный доступ к файлам и потенциальную утечку данных.
- CVE-2023-5934: Небезопасная десериализация (CVSS 8.1) – может привести к удалённому выполнению кода (RCE) или условиям отказа в обслуживании (DoS).
- CVE-2023-5935: Жёстко закодированные учётные данные (CVSS 7.5) – раскрывает стандартные пароли, предоставляя несанкционированный доступ к системе.
Эти уязвимости обусловлены недостаточной санацией входных данных, некорректными механизмами контроля доступа и небезопасными практиками кодирования в ПО DIAView, которое часто развёртывается на предприятиях обрабатывающей промышленности, энергетики и водоочистных сооружений.
Анализ последствий
Успешная эксплуатация данных уязвимостей может привести к:
- Удалённому выполнению кода (RCE) на уязвимых системах, что позволяет получить полный контроль над промышленными процессами.
- Несанкционированному доступу к данным, включая конфиденциальные операционные и конфигурационные файлы.
- Нарушению работы критически важных сервисов, что может создать угрозы безопасности в промышленных средах.
- Латеральному перемещению в сетях операционных технологий (OT), увеличивая поверхность атаки.
Учитывая интеграцию ПО с системами SCADA и HMI, риски выходят за рамки утечек данных и могут привести к физическим сбоям в работе оборудования.
Рекомендуемые меры
INCIBE-CERT настоятельно рекомендует организациям, использующим DIAView:
- Немедленно применить последний патч (версия 1.2.1.0 или новее) для устранения всех выявленных уязвимостей.
- Изолировать уязвимые системы от ненадёжных сетей до установки обновлений.
- Мониторить подозрительную активность, особенно необычный сетевой трафик или попытки несанкционированного доступа.
- Проверить и сменить учётные данные, убедившись в отсутствии стандартных или жёстко закодированных паролей.
- Провести аудит безопасности промышленных систем управления (ICS) для выявления дополнительных точек уязвимости.
Компания Delta Electronics выпустила бюллетень безопасности с инструкциями по установке патчей и рекомендациями по снижению рисков. Организациям рекомендуется уделить первоочередное внимание обновлениям из-за высокой степени критичности и риска активной эксплуатации данных уязвимостей.
Дополнительную информацию можно найти в предупреждении INCIBE-CERT.