施耐德电气产品存在严重漏洞，工业系统面临风险

施耐德电气修复工业产品中的多个严重漏洞

西班牙马德里 – 2026年2月11日 – 施耐德电气（Schneider Electric）近日发布了安全更新，修复了其EcoStruxure及其他工业产品中的多个漏洞。这些漏洞可能允许攻击者执行任意代码、提升权限或导致拒绝服务（DoS）攻击。这些漏洞由西班牙国家网络安全研究所计算机应急响应团队（INCIBE-CERT）披露，影响广泛部署于关键基础设施领域的系统。

漏洞技术细节

这些漏洞包括：

• CVE-2026-XXXX1（CVSS 9.1）：EcoStruxure Operator Terminal Expert中由于输入验证不当导致的远程代码执行（RCE）漏洞。
• CVE-2026-XXXX2（CVSS 8.8）：EcoStruxure Power Monitoring Expert中由于文件权限不安全导致的权限提升漏洞。
• CVE-2026-XXXX3（CVSS 7.5）：施耐德电气Modicon控制器中由畸形网络数据包触发的DoS漏洞。
• CVE-2026-XXXX4（CVSS 6.5）：EcoStruxure Building Operation中暴露敏感配置数据的信息泄露漏洞。

这些漏洞影响施耐德电气多个软件和固件版本，包括：

• EcoStruxure Operator Terminal Expert（3.2.1版本之前）
• EcoStruxure Power Monitoring Expert（9.0.1版本之前）
• Modicon M580和M340控制器（3.10固件版本之前）
• EcoStruxure Building Operation（4.0.3版本之前）

影响分析

成功利用这些漏洞可能对工业环境造成严重后果，包括：

• 非授权控制操作技术（OT）系统，可能导致物理损坏或安全风险。
• 关键服务中断，如电力分配、楼宇管理或制造流程。
• 数据泄露，将敏感的运营或配置数据暴露给攻击者。

由于施耐德电气产品广泛应用于能源、水务和制造业等关键基础设施领域，这些漏洞对关键基础设施构成重大风险。

安全团队建议

施耐德电气已为所有受影响产品发布了补丁。安全团队建议采取以下措施：

1. 立即应用更新，以降低这些漏洞带来的风险。
2. 将易受攻击的系统与不受信任的网络隔离，直至部署补丁。
3. 监控可疑活动，特别是在部署施耐德电气产品的OT环境中。
4. 审查访问控制，限制权限并减少攻击面。
5. 进行风险评估，评估对工业运营的潜在影响。

有关详细补丁信息，请参阅施耐德电气的官方安全公告。

INCIBE-CERT已将此警报定为高危，并敦促各组织优先进行修复，以防止漏洞被利用。