Tiga Celah Keamanan Zero-Day Berantai di Switch OT Siemens RUGGEDCOM ROX II Terbongkar

Berikut adalah uraian lengkap berdasarkan sumber yang valid.

Tiga Celah Zero-Day Berantai

Tim riset Unit 42 dari Palo Alto Networks, bekerja sama dengan Siemens, mengungkap rantai eksploitasi tiga tahap yang terdiri dari CVE-2025-40948, CVE-2025-40947, dan CVE-2025-40949 pada switch OT (Operational Technology) Siemens RUGGEDCOM ROX II. Eksploitasi yang berhasil memberikan penyerang eskalasi privilege penuh dan akses root persisten ke perangkat .

Rantai ini bekerja secara berurutan:

• CVE-2025-40948 (CVSS 6.8, Medium) — Pengungkapan file arbitrer melalui konfigurasi tidak aman pada utilitas xz, yang berjalan dengan hak istimewa root. Penyerang dapat membaca file apa pun di sistem perangkat, termasuk file konfigurasi, hash kata sandi, dan kunci kriptografis pribadi .
• CVE-2025-40947 (CVSS 7.5, High) — Eskalasi privilege melalui injeksi perintah pada fungsi validasi key fitur. Fungsi tersebut gagal membersihkan payload yang dikendalikan penyerang sebelum memasukkannya langsung ke perintah yang dijalankan dengan hak istimewa root, sehingga memungkinkan akses root penuh .
• CVE-2025-40949 (CVSS 9.1, Critical) — Eksekusi kode root persisten di penjadwal tugas manajemen web switch akibat sanitasi input yang tidak tepat. Setelah dieksploitasi, ini memungkinkan penyerang mempertahankan akses root jangka panjang pada perangkat .

Perangkat dan Versi Firmware yang Terdampak

Semua perangkat dalam keluarga RUGGEDCOM ROX II dengan firmware versi sebelum V2.17.1 terdampak. Model spesifiknya adalah:

• RUGGEDCOM ROX MX5000
• RUGGEDCOM ROX MX5000RE
• RUGGEDCOM ROX RX1400
• RUGGEDCOM ROX RX1500
• RUGGEDCOM ROX RX1501
• RUGGEDCOM ROX RX1510
• RUGGEDCOM ROX RX1511
• RUGGEDCOM ROX RX1512
• RUGGEDCOM ROX RX1524
• RUGGEDCOM ROX RX1536
• RUGGEDCOM ROX RX5000

Semua model ini dikonfirmasi terdampak untuk ketiga CVE pada versi di bawah V2.17.1 .

Perbaikan (Remediasi)

Siemens menerbitkan advisory keamanan SSA-577017 pada 12 Mei 2026, dan telah merilis firmware V2.17.1 untuk seluruh keluarga RUGGEDCOM ROX II . Perbaikannya adalah memperbarui ke V2.17.1 atau lebih baru melalui Siemens Industry Online Support .

CISA juga mengeluarkan advisory pada 14 Mei 2026, mendesak operator untuk segera menerapkan pembaruan firmware . Untuk perangkat terkait RUGGEDCOM APE1808, Siemens menyarankan untuk menghubungi dukungan pelanggan guna menerima informasi tambalan dan pembaruan .

Implikasi Lebih Luas untuk Keamanan Infrastruktur Kritis

• Tulang punggung jaringan OT terekspos. Switch RUGGEDCOM ROX berada di inti jaringan gardu induk, sistem kontrol pipa, dan jaringan industri. Kompromi tingkat root pada perangkat ini dapat memungkinkan penyerang mengganggu, memanipulasi, atau memantau proses industri dalam skala besar .
• Eksploitasi berantai menurunkan hambatan keterampilan. Alih-alih membutuhkan satu celah kritis, rantai tiga langkah ini memungkinkan penyerang meningkat dari pembacaan file ke akses root persisten. Pola serangan modular ini semakin umum dalam kampanye yang menargetkan OT .
• Basis terpasang yang luas. Kerentanan mencakup 11 model perangkat yang digunakan secara global di sektor energi, manufaktur, air, dan transportasi. Banyak perangkat ini berada di lingkungan dengan siklus tambalan yang panjang dan segmentasi jaringan yang terbatas .
• Beban tambalan yang semakin berat bagi operator yang diatur NIS2. Pengungkapan ini adalah bagian dari tren yang lebih luas — antara Agustus dan Desember 2025 saja, Siemens menerbitkan enam advisory OT kritis. Volume kerentanan yang bertumpuk membebani pemilik aset yang harus menjaga ketersediaan sambil menambal perangkat jaringan yang tertanam dalam .
• Risiko ketergantungan pihak ketiga. Selain tiga zero-day, advisory SSA-577017 dari Siemens juga menggabungkan lusinan kerentanan pihak ketiga (termasuk kerentanan bootloader U-Boot) yang juga diperbaiki di V2.17.1, menekankan bagaimana komposisi perangkat lunak rantai pasokan memengaruhi keamanan perangkat OT .

Belum ada bukti eksploitasi aktif di dunia nyata yang dipublikasikan hingga 18 Juli 2026, tetapi Unit 42 menekankan bahwa penyerang dengan akses jaringan ke antarmuka manajemen dapat mempersenjatai rantai ini dari jarak jauh .