Avation Light Engine Pro 曝严重漏洞 可致设备完全被接管

Avation Light Engine Pro 曝严重漏洞 可致设备完全被接管

美国网络安全与基础设施安全局（CISA）近日披露了 Avation Light Engine Pro 中存在的一个严重安全漏洞，该漏洞可能使威胁行为者完全控制受影响的设备。该漏洞编号为 ICSA-26-034-02，影响该软件的所有版本，对运营技术（OT）环境构成重大风险。

技术细节

• 漏洞编号：CVE-2026-XXXX（具体 CVE 编号待最终分配）
• 受影响软件：Avation Light Engine Pro（所有版本）
• 严重程度：严重（具体 CVSS 评分待公布）
• 利用影响：成功利用该漏洞可能使攻击者执行任意代码、操控设备功能或中断运行。
• 安全公告来源：CISA ICS 公告（ICSA-26-034-02）
• CSAF 文档：查看 CSAF JSON

目前，CISA 尚未公布该漏洞的根本原因或利用向量的具体技术细节。然而，考虑到该漏洞可能导致完全控制设备，其可能涉及权限提升、远程代码执行（RCE）或身份验证绕过等常见的 OT 设备攻击路径。

影响分析

Avation Light Engine Pro 广泛应用于工业控制系统（ICS）及关键基础设施领域，包括航空、制造和能源行业。一旦漏洞被成功利用，可能导致：

• 运行中断（如关机、异常行为）
• 安全风险（如航空照明或信号系统被操控）
• 横向移动至连接的 OT/IT 网络
• 数据窃取或破坏

由于该漏洞影响产品线的所有版本，因此缺乏版本限制进一步加剧了修复的紧迫性。

建议措施

CISA 敦促使用 Avation Light Engine Pro 的组织采取以下措施：

1. 立即应用补丁，一旦厂商发布更新。
2. 将受影响设备与不受信任的网络隔离，直至完成修复。
3. 监控可疑活动，包括未经授权的配置更改或异常流量。
4. 查看 CISA 公告以获取最新信息：ICSA-26-034-02。
5. 实施网络分段，限制 OT 设备的暴露面。

组织还应为潜在的概念验证（PoC）漏洞利用做好准备，因为威胁行为者可能会在公告发布后通过逆向工程开发攻击代码。

本文为持续更新报道。请关注 CISA 公告以获取 CVE 编号及技术细节的最新信息。