Tre nullsårssårbarheter i Siemens RUGGEDCOM ROX II-brytere – alt du trenger å vite

Her er den fullstendige, kildebaserte gjennomgangen.

De tre lenkede nullsårssårbarhetene

Forskerteamet Palo Alto Networks' Unit 42, i samarbeid med Siemens, har avdekket en angrepskjede på tre steg bestående av CVE-2025-40948, CVE-2025-40947 og CVE-2025-40949 i Siemens RUGGEDCOM ROX II-brytere for operasjonell teknologi (OT). Vellykket utnyttelse gir angriperen full privilegieheving og vedvarende root-tilgang på enheten .

Kjeden fungerer i rekkefølge:

• CVE-2025-40948 (CVSS 6.8, Medium) — Vilkårlig filavlesing via en usikker konfigurasjon av xz-verktøyet, som kjøres med root-rettigheter. En angriper kan lese alle filer på bryterens filsystem, inkludert konfigurasjonsfiler, passord-hash-er og private kryptografiske nøkler .
• CVE-2025-40947 (CVSS 7.5, High) — Privilegieheving via kommandoinjeksjon i funksjonsnøkkelvalideringen. Funksjonen renser ikke en angriperstyrt nyttelast før den settes inn i en kommando som kjøres med root-rettigheter, noe som gir full root-tilgang .
• CVE-2025-40949 (CVSS 9.1, Critical) — Vedvarende root-kodekjøring i bryterens web-baserte oppgaveplanlegger på grunn av utilstrekkelig inndatarensing. Når den er utnyttet, kan angriperen opprettholde langvarig root-tilgang på enheten .

Berørte enheter og fastvareversjoner

Alle enheter i RUGGEDCOM ROX II-familien som kjører fastvare eldre enn V2.17.1 er berørt. De spesifikke modellene er:

• RUGGEDCOM ROX MX5000
• RUGGEDCOM ROX MX5000RE
• RUGGEDCOM ROX RX1400
• RUGGEDCOM ROX RX1500
• RUGGEDCOM ROX RX1501
• RUGGEDCOM ROX RX1510
• RUGGEDCOM ROX RX1511
• RUGGEDCOM ROX RX1512
• RUGGEDCOM ROX RX1524
• RUGGEDCOM ROX RX1536
• RUGGEDCOM ROX RX5000

Alle disse er bekreftet sårbare for alle tre CVE-ene i versjoner under V2.17.1 .

Tiltak

Siemens publiserte sikkerhetsbulletin SSA-577017 den 12. mai 2026 og har sluppet fastvare V2.17.1 for hele RUGGEDCOM ROX II-familien . Tiltaket er å oppdatere til V2.17.1 eller nyere via Siemens Industry Online Support .

CISA utstedte også en bulletin den 14. mai 2026 og oppfordret operatører til å installere fastvareoppdateringen . For den relaterte enheten RUGGEDCOM APE1808 anbefaler Siemens å kontakte kundestøtte for å motta oppdateringsinformasjon .

Bredere implikasjoner for sikkerhet i kritisk infrastruktur

• OT-nettverkets ryggrad utsatt. RUGGEDCOM ROX-brytere sitter i nettverkskjernen til kraftstasjoner, rørledningskontrollsystemer og industrielle nettverk. Full root-kompromittering av disse enhetene kan tillate en angriper å forstyrre, manipulere eller overvåke industrielle prosesser i stor skala .
• Lenket utnyttelse senker terskelen. I stedet for å kreve en enkelt kritisk sårbarhet, lar denne trestegs-kjeden en angriper eskalere fra filavlesing til vedvarende root-tilgang. Denne modulære angrepsmetoden blir stadig vanligere i OT-rettede kampanjer .
• Stor installasjonsbase. Sårbarheten spenner over 11 enhetsmodeller utplassert globalt innen energi, produksjon, vann og transport. Mange av disse enhetene befinner seg i miljøer med lange oppdateringssykluser og begrenset nettverkssegmentering .
• Økende oppdateringsbyrde for NIS2-regulerte operatører. Denne avsløringen er en del av en bredere trend – mellom august og desember 2025 alene utstedte Siemens seks kritiske OT-bulletiner. Det økende antallet sårbarheter belaster eiere som må opprettholde tilgjengelighet samtidig som de oppdaterer dypt innebygd nettverksutstyr .

Det er ikke publisert bevis for aktiv utnyttelse i villmarken per 18. juli 2026, men Unit 42 understreker at angripere med nettverkstilgang til administrasjonsgrensesnittet kan bruke denne kjeden eksternt .