Delta Electronics DIAView软件爆重大漏洞 工业系统面临攻击风险

Delta Electronics DIAView软件重大漏洞亟需修补

西班牙马德里 – 2026年1月19日 – 西班牙国家网络安全研究院（INCIBE-CERT）近日发布紧急警报，称广泛应用于工业自动化的Delta Electronics DIAView软件存在多个高危漏洞。若被利用，攻击者可能远程执行代码、提升权限或窃取关键基础设施中的敏感数据。

漏洞技术细节

此次漏洞影响DIAView 1.2.1.0之前的所有版本，已确认的关键问题包括：

• CVE-2023-5932：输入验证不当（CVSS 9.8）– 攻击者可通过精心构造的网络数据包远程执行任意代码。
• CVE-2023-5933：路径遍历（CVSS 8.6）– 可实现未授权文件访问及潜在数据泄露。
• CVE-2023-5934：不安全的反序列化（CVSS 8.1）– 可能导致远程代码执行（RCE）或拒绝服务（DoS）攻击。
• CVE-2023-5935：硬编码凭证（CVSS 7.5）– 暴露默认凭证，允许未授权系统访问。

这些漏洞源于DIAView软件在输入过滤、访问控制及编码安全方面的不足。该软件广泛部署于制造业、能源及水处理设施等工业环境。

影响分析

成功利用上述漏洞可能导致：

• 远程代码执行（RCE），使攻击者获得工业流程的完全控制权。
• 未授权数据访问，包括操作和配置文件中的敏感信息。
• 关键服务中断，进而引发工业环境中的安全隐患。
• OT网络中的横向移动，扩大攻击面。

由于DIAView与SCADA及HMI系统深度集成，风险不仅限于数据泄露，还可能造成物理操作中断。

建议措施

INCIBE-CERT敦促使用DIAView的组织采取以下行动：

1. 立即安装最新补丁（v1.2.1.0或更高版本），以缓解所有已识别的漏洞。
2. 将受影响系统与不受信任的网络隔离，直至完成修补。
3. 监控可疑活动，特别是异常网络流量或未授权访问尝试。
4. 审查并轮换凭证，确保不再使用默认或硬编码密码。
5. 对工业控制系统（ICS）进行安全审计，识别其他潜在风险点。

Delta Electronics已发布安全公告，提供补丁详情及缓解指南。由于这些漏洞严重性高且存在被主动利用的风险，组织应优先更新。

更多详情，请参阅INCIBE-CERT安全公告。