Критические уязвимости в продуктах Schneider Electric угрожают промышленным системам

Schneider Electric устраняет критические уязвимости в промышленных продуктах

Мадрид, Испания – 11 февраля 2026 г. – Компания Schneider Electric выпустила обновления безопасности для устранения нескольких критических уязвимостей в своих продуктах EcoStruxure и других промышленных решениях. Эти уязвимости могут позволить злоумышленникам выполнять произвольный код, повышать привилегии или вызывать условия отказа в обслуживании (DoS). Обнаруженные испанским центром INCIBE-CERT, уязвимости затрагивают широко используемые системы в секторах критической инфраструктуры.

Технические детали уязвимостей

В число выявленных уязвимостей входят:

• CVE-2026-XXXX1 (CVSS 9.1): Уязвимость удаленного выполнения кода (RCE) в EcoStruxure Operator Terminal Expert, вызванная неправильной проверкой входных данных.
• CVE-2026-XXXX2 (CVSS 8.8): Уязвимость повышения привилегий в EcoStruxure Power Monitoring Expert, связанная с небезопасными разрешениями на файлы.
• CVE-2026-XXXX3 (CVSS 7.5): Уязвимость DoS в контроллерах Modicon компании Schneider Electric, вызываемая искаженными сетевыми пакетами.
• CVE-2026-XXXX4 (CVSS 6.5): Уязвимость раскрытия информации в EcoStruxure Building Operation, приводящая к утечке конфиденциальных данных конфигурации.

Эти уязвимости затрагивают несколько версий программного обеспечения и прошивок Schneider Electric, включая:

• EcoStruxure Operator Terminal Expert (версии до 3.2.1)
• EcoStruxure Power Monitoring Expert (версии до 9.0.1)
• Контроллеры Modicon M580 и M340 (версии прошивки до 3.10)
• EcoStruxure Building Operation (версии до 4.0.3)

Анализ последствий

Успешная эксплуатация этих уязвимостей может иметь серьезные последствия для промышленных сред, включая:

• Несанкционированный контроль над системами операционных технологий (OT), что может привести к физическим повреждениям или угрозам безопасности.
• Нарушение работы критически важных сервисов, таких как распределение электроэнергии, управление зданиями или производственные процессы.
• Утечки данных, при которых конфиденциальная операционная или конфигурационная информация может быть раскрыта злоумышленникам.

Учитывая широкое распространение продуктов Schneider Electric в энергетическом, водном и производственном секторах, эти уязвимости представляют значительную угрозу для критической инфраструктуры.

Рекомендации для служб безопасности

Schneider Electric выпустила исправления для всех уязвимых продуктов. Службам безопасности рекомендуется:

1. Немедленно установить обновления для снижения риска эксплуатации уязвимостей.
2. Изолировать уязвимые системы от ненадежных сетей до установки исправлений.
3. Мониторить подозрительную активность, особенно в OT-средах, где используются продукты Schneider Electric.
4. Пересмотреть контроль доступа для ограничения привилегий и уменьшения поверхности атаки.
5. Провести оценку рисков для анализа потенциальных последствий для промышленных операций.

Подробную информацию о патчах можно найти в официальном бюллетене безопасности Schneider Electric.

INCIBE-CERT классифицировал это предупреждение как высокой степени серьезности и призывает организации уделить первоочередное внимание мерам по устранению уязвимостей для предотвращения их эксплуатации.