Kolme ketjutettua nollapäivähaavoittuvuutta Siemensin RUGGEDCOM ROX II -kytkimissä

Tässä on kattava, lähdeperustainen selvitys.

Kolme ketjutettua nollapäivähaavoittuvuutta

Palo Alto Networksin Unit 42 -tutkimusryhmä paljasti yhteistyössä Siemensin kanssa kolmivaiheisen hyökkäysketjun, joka koostuu haavoittuvuuksista CVE-2025-40948, CVE-2025-40947 ja CVE-2025-40949 Siemensin RUGGEDCOM ROX II -teollisuuskytkimissä. Onnistunut hyödyntäminen antaa hyökkääjälle täyden oikeuksien korotuksen ja pysyvän pääkäyttäjätason pääsyn laitteeseen .

Ketju toimii seuraavasti:

• CVE-2025-40948 (CVSS 6.8, Keskitaso) – Mielivaltainen tiedostojen paljastaminen xz-työkalun epäturvallisen määrityksen kautta, joka suoritetaan pääkäyttäjän oikeuksilla. Hyökkääjä voi lukea minkä tahansa tiedoston kytkimen tiedostojärjestelmästä, mukaan lukien asetustiedostot, salasanatiivisteet ja yksityiset salausavaimet .
• CVE-2025-40947 (CVSS 7.5, Korkea) – Oikeuksien korotus komentoinjektion kautta toimintoavaimen validointitoiminnossa. Toiminto ei puhdista hyökkääjän hallitsemaa syötettä ennen sen lisäämistä komentoon, joka suoritetaan pääkäyttäjän oikeuksilla, mahdollistaen täyden pääkäyttäjän pääsyn .
• CVE-2025-40949 (CVSS 9.1, Kriittinen) – Pysyvä pääkäyttäjän koodin suoritus kytkimen verkkopohjaisessa tehtävien ajastimessa, mikä johtuu virheellisestä syötteen puhdistuksesta. Hyödyntämisen jälkeen tämä mahdollistaa hyökkääjän pitkäaikaisen pysyvän pääkäyttäjätason pääsyn laitteeseen .

Haavoittuvat laitteet ja laiteohjelmistoversiot

Kaikki RUGGEDCOM ROX II -perheen laitteet, joissa on laiteohjelmistoversio ennen V2.17.1:tä, ovat haavoittuvia. Haavoittuvia malleja ovat:

• RUGGEDCOM ROX MX5000
• RUGGEDCOM ROX MX5000RE
• RUGGEDCOM ROX RX1400
• RUGGEDCOM ROX RX1500
• RUGGEDCOM ROX RX1501
• RUGGEDCOM ROX RX1510
• RUGGEDCOM ROX RX1511
• RUGGEDCOM ROX RX1512
• RUGGEDCOM ROX RX1524
• RUGGEDCOM ROX RX1536
• RUGGEDCOM ROX RX5000

Kaikissa näissä malleissa kaikki kolme haavoittuvuutta on vahvistettu versioissa, jotka ovat alle V2.17.1 .

Korjaustoimenpiteet

Siemens julkaisi tietoturvatiedotteen SSA-577017 12. toukokuuta 2026 ja on julkaissut laiteohjelmistoversion V2.17.1 koko RUGGEDCOM ROX II -perheelle . Korjaustoimenpide on päivittää versioon V2.17.1 tai uudempaan Siemensin Industry Online Support -palvelun kautta .

CISA antoi oman tiedotteen 14. toukokuuta 2026, jossa se kehotti operaattoreita soveltamaan laiteohjelmistopäivitystä . RUGGEDCOM APE1808 -laitteen osalta Siemens kehottaa ottamaan yhteyttä asiakastukeen korjaus- ja päivitystietojen saamiseksi .

Laajemmat vaikutukset kriittisen infrastruktuurin tietoturvaan

• OT-verkon selkärankapaljastus. RUGGEDCOM ROX -kytkimet sijaitsevat sähköasemien, putkistojen ohjausjärjestelmien ja teollisuusverkkojen ydinosissa. Täysi pääkäyttäjätason kompromissi näissä laitteissa voi antaa hyökkääjälle mahdollisuuden häiritä, manipuloida tai valvoa teollisia prosesseja laajassa mittakaavassa .
• Ketjutettu hyökkäys alentaa taitokynnystä. Sen sijaan, että vaadittaisiin yksi kriittinen haavoittuvuus, tämä kolmivaiheinen ketju antaa hyökkääjän edetä tiedostojen luvusta pysyvään pääkäyttäjän pääsyyn. Tämä modulaarinen hyökkäystapa on yhä yleisempi OT-järjestelmiin kohdistetuissa kampanjoissa .
• Laaja asennettu kanta. Haavoittuvuus koskee 11:tä laitemallia, jotka on otettu käyttöön maailmanlaajuisesti energia-, valmistus-, vesi- ja liikennealoilla. Monet näistä laitteista ovat ympäristöissä, joissa on pitkät päivitysjaksot ja rajoitettu verkon segmentointi .
• Kiihtyvä korjausvelka NIS2-säännellyille operaattoreille. Tämä paljastus on osa laajempaa trendiä – elokuun ja joulukuun 2025 välillä Siemens antoi kuusi kriittistä OT-tietoturvatiedotetta. Kasvava haavoittuvuuksien määrä rasittaa omaisuuden omistajia, joiden on ylläpidettävä käytettävyyttä samalla kun he korjaavat syvälle verkkoon upotettuja laitteita .
• Kolmannen osapuolen riippuvuusriski. Kolmen nollapäivähaavoittuvuuden lisäksi Siemensin tiedote SSA-577017 sisältää kymmeniä kolmannen osapuolen haavoittuvuuksia (mukaan lukien U-Boot-käynnistyslataimen vikoja), jotka myös korjataan versiossa V2.17.1, korostaen sitä, miten toimitusketjun ohjelmistokoostumus vaikuttaa OT-laitteiden tietoturvaan .

Julkista näyttöä haavoittuvuuksien aktiivisesta hyödyntämisestä luonnossa ei ole julkaistu 18. heinäkuuta 2026 mennessä, mutta Unit 42 korostaa, että hyökkääjät, joilla on verkkopääsy hallintaliittymään, voivat käyttää tätä ketjua etänä .