Drie gekoppelde zero-day-kwetsbaarheden in Siemens RUGGEDCOM ROX II ontdekt

Dit is het volledige, bron-gestuurde verhaal.

De drie gekoppelde zero-day-kwetsbaarheden

Het onderzoeksteam van Palo Alto Networks' Unit 42 ontdekte, in samenwerking met Siemens, een drietraps exploit-keten bestaande uit CVE-2025-40948, CVE-2025-40947 en CVE-2025-40949 in Siemens RUGGEDCOM ROX II OT-switches. Succesvolle misbruik van deze keten geeft een aanvaller volledige privilege-escalatie en permanente root-toegang op het apparaat .

De keten werkt in deze volgorde:

• CVE-2025-40948 (CVSS 6.8, Medium) — Willekeurige bestandsdiefstal via een onveilige configuratie van de xz-utility, die met root-rechten draait. Een aanvaller kan elk bestand op het bestandssysteem van de switch uitlezen, waaronder configuratiebestanden, wachtwoord-hashes en cryptografische sleutels .
• CVE-2025-40947 (CVSS 7.5, High) — Privilege-escalatie via command-injectie in de functie voor het valideren van feature-keys. De functie zuivert een door de aanvaller beheerde payload niet voordat deze direct in een met root-rechten uitgevoerd commando wordt ingevoegd, waardoor volledige root-toegang ontstaat .
• CVE-2025-40949 (CVSS 9.1, Critical) — Permanente root-code-uitvoering in de webgebaseerde taakplanner van de switch door onjuiste invoervalidatie. Eenmaal misbruikt, stelt dit de aanvaller in staat om langdurige root-persistentie op het apparaat te behouden .

Getroffen apparaten en firmwareversies

Alle apparaten in de RUGGEDCOM ROX II-familie met firmware lager dan V2.17.1 zijn kwetsbaar. Het gaat om deze modellen:

• RUGGEDCOM ROX MX5000
• RUGGEDCOM ROX MX5000RE
• RUGGEDCOM ROX RX1400
• RUGGEDCOM ROX RX1500
• RUGGEDCOM ROX RX1501
• RUGGEDCOM ROX RX1510
• RUGGEDCOM ROX RX1511
• RUGGEDCOM ROX RX1512
• RUGGEDCOM ROX RX1524
• RUGGEDCOM ROX RX1536
• RUGGEDCOM ROX RX5000

Al deze modellen zijn bevestigd kwetsbaar voor alle drie de CVE's bij versies lager dan V2.17.1 .

Remediatie

Siemens publiceerde het beveiligingsadvies SSA-577017 op 12 mei 2026 en heeft firmware V2.17.1 voor de gehele RUGGEDCOM ROX II-familie uitgebracht . De remediatie is om te updaten naar V2.17.1 of later via Siemens Industry Online Support .

Ook CISA (de Amerikaanse cybersecurity-autoriteit) gaf op 14 mei 2026 een advies uit waarin operators worden opgeroepen de firmware-update toe te passen . Voor het gerelateerde RUGGEDCOM APE1808-apparaat adviseert Siemens contact op te nemen met de klantenservice voor patch- en update-informatie .

Wat dit betekent voor de beveiliging van kritieke infrastructuur

• Ruggengraat van OT-netwerken. RUGGEDCOM ROX-switches vormen de netwerkkern van onderstations, pijpleidingbesturingssystemen en industriële netwerken. Volledige root-compromittering van deze apparaten kan een aanvaller in staat stellen industriële processen op grote schaal te verstoren, manipuleren of bespioneren .
• Gekoppelde exploit verlaagt de drempel. In plaats van één kritieke kwetsbaarheid, laat deze keten een aanvaller opklimmen van bestandsdiefstal naar permanente root-toegang. Dit modulaire aanvalspatroon komt steeds vaker voor in op OT gerichte campagnes .
• Grote geïnstalleerde basis. De kwetsbaarheid treft 11 apparaatmodellen die wereldwijd zijn ingezet in de energie-, maakindustrie, water- en transportsector. Veel van deze apparaten bevinden zich in omgevingen met lange patch-cycli en beperkte netwerksegmentatie .
• Versnellende patch-last voor NIS2-gereguleerde operators. Deze onthulling maakt deel uit van een bredere trend — alleen al tussen augustus en december 2025 gaf Siemens zes kritieke OT-advisories uit. De oplopende stapel kwetsbaarheden legt een zware druk op asset-eigenaren die zowel beschikbaarheid moeten garanderen als diep ingebedde netwerkapparatuur moeten patchen .
• Risico van afhankelijkheden van derden. Naast de drie zero-days bundelt Siemens' advies SSA-577017 tientallen kwetsbaarheden van derden (waaronder U-Boot-bootloader-fouten) die ook zijn verholpen in V2.17.1. Dit onderstreept hoe de software-samenstelling van de toeleveringsketen de beveiliging van OT-apparatuur beïnvloedt .

Er is tot 18 juli 2026 geen bewijs van actief misbruik in het wild gepubliceerd, maar Unit 42 benadrukt dat aanvallers met netwerktoegang tot de beheerinterface deze keten op afstand kunnen inzetten .