Trois failles zero-day en chaîne découvertes dans les commutateurs OT Siemens RUGGEDCOM ROX II

Voici l'analyse complète, sourcée.

Les trois vulnérabilités zero-day en chaîne

L'équipe de recherche Unit 42 de Palo Alto Networks, en partenariat avec Siemens, a divulgué une chaîne d'exploitation en trois étapes comprenant CVE-2025-40948, CVE-2025-40947 et CVE-2025-40949 dans les commutateurs OT Siemens RUGGEDCOM ROX II. Une exploitation réussie permet à un attaquant d'obtenir une escalade de privilèges complète et un accès root persistant sur l'appareil .

La chaîne fonctionne en séquence :

• CVE-2025-40948 (CVSS 6.8, Moyenne) — Divulgation arbitraire de fichiers via une configuration non sécurisée de l'utilitaire xz, qui s'exécute avec les privilèges root. Un attaquant peut lire n'importe quel fichier sur le système de fichiers du commutateur, y compris les fichiers de configuration, les mots de passe hachés et les clés cryptographiques privées .
• CVE-2025-40947 (CVSS 7.5, Élevée) — Escalade de privilèges via une injection de commande dans la fonction de validation de clé de fonctionnalité. La fonction ne nettoie pas une charge utile contrôlée par l'attaquant avant de l'insérer directement dans une commande exécutée avec les privilèges root, permettant un accès root complet .
• CVE-2025-40949 (CVSS 9.1, Critique) — Exécution de code root persistante dans le planificateur de tâches de l'interface de gestion web du commutateur, due à un désinfectement incorrect des entrées. Une fois exploitée, cela permet à l'attaquant de maintenir une persistance root à long terme sur l'appareil .

Appareils et versions de firmware concernés

Tous les appareils de la famille RUGGEDCOM ROX II exécutant des versions de firmware antérieures à V2.17.1 sont concernés. Les modèles spécifiques sont :

• RUGGEDCOM ROX MX5000
• RUGGEDCOM ROX MX5000RE
• RUGGEDCOM ROX RX1400
• RUGGEDCOM ROX RX1500
• RUGGEDCOM ROX RX1501
• RUGGEDCOM ROX RX1510
• RUGGEDCOM ROX RX1511
• RUGGEDCOM ROX RX1512
• RUGGEDCOM ROX RX1524
• RUGGEDCOM ROX RX1536
• RUGGEDCOM ROX RX5000

Tous ces modèles sont confirmés comme étant affectés par les trois CVE dans les versions antérieures à V2.17.1 .

Correctif

Siemens a publié l'avis de sécurité SSA-577017 le 12 mai 2026 et a diffusé le firmware V2.17.1 pour toute la famille RUGGEDCOM ROX II . La solution consiste à mettre à jour vers V2.17.1 ou une version ultérieure via le portail Siemens Industry Online Support .

La CISA (Agence de cybersécurité des infrastructures américaines) a également émis un avis le 14 mai 2026, exhortant les opérateurs à appliquer la mise à jour du firmware . Pour l'appareil associé RUGGEDCOM APE1808, Siemens conseille de contacter le support client pour obtenir les informations sur les correctifs et les mises à jour .

Implications plus larges pour la sécurité des infrastructures critiques

• Colonne vertébrale du réseau OT exposée. Les commutateurs RUGGEDCOM ROX sont placés au cœur du réseau des sous-stations électriques, des systèmes de contrôle des pipelines et des réseaux industriels. Une compromission complète au niveau root de ces appareils pourrait permettre à un attaquant de perturber, manipuler ou surveiller des processus industriels à grande échelle .
• L'exploitation en chaîne abaisse la barrière de compétence. Plutôt que de nécessiter une seule vulnérabilité critique, cette chaîne en trois étapes permet à un attaquant de passer de la lecture de fichiers à un accès root persistant. Ce modèle d'attaque modulaire est de plus en plus courant dans les campagnes ciblant les OT .
• Parc installé étendu. La vulnérabilité touche 11 modèles d'appareils déployés dans le monde entier dans les secteurs de l'énergie, de la fabrication, de l'eau et des transports. Bon nombre de ces appareils se trouvent dans des environnements avec des cycles de correction longs et une segmentation réseau limitée .
• Charge de correction accélérée pour les opérateurs réglementés par NIS2. Cette divulgation s'inscrit dans une tendance plus large : entre août et décembre 2025 seulement, Siemens a émis six avis de sécurité OT critiques. Le volume croissant de vulnérabilités met à rude épreuve les propriétaires d'actifs qui doivent maintenir la disponibilité tout en corrigeant des équipements réseau profondément intégrés .
• Risque lié aux dépendances tierces. En plus des trois zero-day, l'avis SSA-577017 de Siemens regroupe des dizaines de vulnérabilités tierces (y compris des défauts du chargeur de démarrage U-Boot) qui sont également corrigées dans V2.17.1, soulignant comment la composition logicielle de la chaîne d'approvisionnement affecte la sécurité des appareils OT .

Aucune preuve d'exploitation active dans la nature n'a été publiée au 18 juillet 2026, mais Unit 42 souligne que les attaquants ayant un accès réseau à l'interface de gestion pourraient armer cette chaîne à distance .