Catena di tre vulnerabilità zero-day critiche nei router OT Siemens RUGGEDCOM ROX II

Ecco l'analisi completa e documentata.

Le tre vulnerabilità zero-day concatenate

Il team di ricerca di Palo Alto Networks Unit 42, in collaborazione con Siemens, ha divulgato una catena di exploit a tre stadi composta da CVE-2025-40948, CVE-2025-40947 e CVE-2025-40949 nei router OT (Operational Technology) della famiglia Siemens RUGGEDCOM ROX II. Uno sfruttamento riuscito della catena concede a un attaccante la piena escalation dei privilegi e l'accesso root persistente al dispositivo .

La catena funziona in sequenza:

• CVE-2025-40948 (CVSS 6.8, Media) — Divulgazione arbitraria di file tramite una configurazione insicura dell'utilità xz, che viene eseguita con privilegi di root. Un attaccante può leggere qualsiasi file sul filesystem dello switch, inclusi file di configurazione, hash di password e chiavi crittografiche private .
• CVE-2025-40947 (CVSS 7.5, Alta) — Escalation dei privilegi tramite iniezione di comandi nella funzione di convalida della chiave di funzionalità (feature key). La funzione non sanifica un payload controllato dall'attaccante prima di inserirlo direttamente in un comando eseguito con privilegi di root, consentendo l'accesso root completo .
• CVE-2025-40949 (CVSS 9.1, Critica) — Esecuzione di codice root persistente nel task scheduler web dello switch a causa di una sanificazione impropria dell'input. Una volta sfruttata, consente all'attaccante di mantenere una persistenza root di lungo periodo sul dispositivo .

Dispositivi e versioni firmware affetti

Tutti i dispositivi della famiglia RUGGEDCOM ROX II con versioni firmware precedenti alla V2.17.1 sono interessati. I modelli specifici sono:

• RUGGEDCOM ROX MX5000
• RUGGEDCOM ROX MX5000RE
• RUGGEDCOM ROX RX1400
• RUGGEDCOM ROX RX1500
• RUGGEDCOM ROX RX1501
• RUGGEDCOM ROX RX1510
• RUGGEDCOM ROX RX1511
• RUGGEDCOM ROX RX1512
• RUGGEDCOM ROX RX1524
• RUGGEDCOM ROX RX1536
• RUGGEDCOM ROX RX5000

Tutti questi modelli sono confermati come affetti per tutte e tre le CVE nelle versioni inferiori alla V2.17.1 .

Misure correttive

Siemens ha pubblicato il bollettino di sicurezza SSA-577017 il 12 maggio 2026 e ha rilasciato la versione firmware V2.17.1 per l'intera famiglia RUGGEDCOM ROX II . La misura correttiva consiste nell'aggiornare alla versione V2.17.1 o successiva tramite il Siemens Industry Online Support .

Anche CISA (Cybersecurity and Infrastructure Security Agency) ha emesso un avviso il 14 maggio 2026, esortando gli operatori ad applicare l'aggiornamento del firmware . Per il dispositivo correlato RUGGEDCOM APE1808, Siemens consiglia di contattare l'assistenza clienti per ricevere informazioni su patch e aggiornamenti .

Implicazioni più ampie per la sicurezza delle infrastrutture critiche

• Esposizione della dorsale di rete OT. I router RUGGEDCOM ROX si trovano al centro delle reti di stazioni elettriche, sistemi di controllo oleodotti e reti industriali. Un compromesso a livello root di questi dispositivi potrebbe consentire a un attaccante di interrompere, manipolare o monitorare i processi industriali su larga scala .
• L'exploit concatenato abbassa la barriera di competenza. Piuttosto che richiedere una singola vulnerabilità critica, questa catena a tre fasi consente a un attaccante di passare dalla lettura di file all'accesso root persistente. Questo modello di attacco modulare è sempre più comune nelle campagne mirate ai sistemi OT .
• Vasta base installata. La vulnerabilità interessa 11 modelli di dispositivi distribuiti a livello globale nei settori energetico, manifatturiero, idrico e dei trasporti. Molti di questi dispositivi si trovano in ambienti con cicli di patch lunghi e segmentazione di rete limitata .
• Accelerazione del carico di patch per gli operatori regolamentati NIS2. Questa divulgazione fa parte di una tendenza più ampia: tra agosto e dicembre 2025, Siemens ha emesso sei avvisi OT critici. Il volume crescente di vulnerabilità sta mettendo a dura prova i proprietari di asset che devono mantenere la disponibilità mentre applicano patch a apparecchiature di rete profondamente integrate .
• Rischio di dipendenza da terze parti. Oltre alle tre zero-day, il bollettino Siemens SSA-577017 raggruppa decine di vulnerabilità di terze parti (inclusi difetti del bootloader U-Boot) che vengono anch'esse corrette nella versione V2.17.1, sottolineando come la composizione software della supply chain influisca sulla sicurezza dei dispositivi OT .

Al 18 luglio 2026, non sono state pubblicate prove di sfruttamento attivo in natura, ma Unit 42 sottolinea che gli attaccanti con accesso di rete all'interfaccia di gestione potrebbero armare questa catena in remoto .