Российская компания Fastwel выпустила обновления для своих программируемых логических контроллеров CPM723-01 и CPM810-03, устранив девять уязвимостей (от 8,3 до 9,4 баллов по шкале CVSS 4.0), обнаруженных специалистами Positive Technologies.
Исследователи отмечают, что ПЛК CPM810-03 и CPM723-01-C1 внесены в реестр российской промышленной продукции и используются в нефтегазовой и железнодорожной отраслях, электроэнергетике, судостроении, металлургии, добывающей промышленности и коммунальном хозяйстве.
Найденные уязвимости получили идентификаторы с PT-2025-40257 по PT-2025-40265 (BDU:2025-11164–BDU:2025-11172), и их эксплуатация могла привести к существенным сбоям контролируемого технологического оборудования.
Наиболее опасные из всех устраненных уязвимостей (PT-2025-40257–PT-2025-40260) позволяли выполнить произвольный код в ОС контроллера. Тогда как баги PT-2025-40261–PT-2025-40265 могли служить плацдармом, ведущим к компрометации устройств. Например, используя проблемы PT-2025-40261–PT-2025-40264, злоумышленник мог получить права администратора веб-конфигуратора и других доступных сервисов контроллера или похитить учетные данные пользователей. Это позволяло изменить конфигурацию ПЛК и захватить полный контроль над устройством.
Отмечается, что до выхода патчей эксплуатировать уязвимости мог как внутренний, так и внешний атакующий, имеющий сетевой доступ к оборудованию.
«Снизить вероятность атаки с использованием подобных ошибок, а также уменьшить ее поверхность помогут сегментация сети компании и ограничение доступа к локальной вычислительной сети АСУ ТП. Стоит также отключить веб-конфигуратор контроллера и неиспользуемые сетевые сервисы, заменить все пароли по умолчанию на сложные. Важно убедиться, что доступ к ПЛК есть только у тех сотрудников, которым он действительно необходим», — комментирует Максим Грузин, специалист группы экспертизы АСУ ТП.
Компаниям, эксплуатирующим уязвимые ПЛК, рекомендуется как можно скорее обновить CPM723-01 до версии 3.4.9.5 и CPM810-03 — до версии 3.4.5.1.
