Trzy powiązane luki zero-day w przełącznikach Siemens RUGGEDCOM ROX II – szczegóły, modele i aktualizacja

Oto szczegółowy, oparty na źródłach raport.

Trzy powiązane luki dnia zerowego

Zespół badawczy Unit 42 firmy Palo Alto Networks, we współpracy z Siemensem, ujawnił trzyetapowy łańcuch exploitów składający się z luk CVE-2025-40948, CVE-2025-40947 oraz CVE-2025-40949 w przełącznikach OT Siemens RUGGEDCOM ROX II. Udane wykorzystanie łańcucha daje atakującemu pełną eskalację uprawnień i trwały dostęp na poziomie roota do urządzenia .

Łańcuch działa sekwencyjnie:

• CVE-2025-40948 (CVSS 6.8, średnia) — Niebezpieczne ujawnienie plików z powodu nieprawidłowej konfiguracji narzędzia xz, które działa z uprawnieniami roota. Atakujący może odczytać dowolny plik w systemie plików przełącznika, w tym pliki konfiguracyjne, hashe haseł i prywatne klucze kryptograficzne .
• CVE-2025-40947 (CVSS 7.5, wysoka) — Eskalacja uprawnień poprzez wstrzyknięcie poleceń w funkcji walidacji kluczy funkcji. Funkcja nie oczyszcza danych kontrolowanych przez atakującego przed wstawieniem ich bezpośrednio do polecenia wykonywanego z uprawnieniami roota, umożliwiając pełny dostęp .
• CVE-2025-40949 (CVSS 9.1, krytyczna) — Trwałe wykonanie kodu z uprawnieniami roota w harmonogramie zadań interfejsu webowego przełącznika z powodu nieprawidłowego oczyszczania danych wejściowych. Po wykorzystaniu pozwala atakującemu na utrzymanie długoterminowej trwałej obecności na urządzeniu .

Zagrożone urządzenia i wersje firmware'u

Wszystkie urządzenia z rodziny RUGGEDCOM ROX II z firmware starszym niż V2.17.1 są zagrożone. Lista modeli:

• RUGGEDCOM ROX MX5000
• RUGGEDCOM ROX MX5000RE
• RUGGEDCOM ROX RX1400
• RUGGEDCOM ROX RX1500
• RUGGEDCOM ROX RX1501
• RUGGEDCOM ROX RX1510
• RUGGEDCOM ROX RX1511
• RUGGEDCOM ROX RX1512
• RUGGEDCOM ROX RX1524
• RUGGEDCOM ROX RX1536
• RUGGEDCOM ROX RX5000

Wszystkie te modele są potwierdzone jako zagrożone dla wszystkich trzech luk CVE w wersjach poniżej V2.17.1 .

Remedium

Siemens opublikował biuletyn bezpieczeństwa SSA-577017 w dniu 12 maja 2026 roku i udostępnił firmware V2.17.1 dla całej rodziny RUGGEDCOM ROX II . Remedium polega na aktualizacji do wersji V2.17.1 lub nowszej za pośrednictwem Siemens Industry Online Support .

Amerykańska agencja CISA również wydała zalecenie 14 maja 2026 roku, wzywając operatorów do zastosowania aktualizacji firmware'u . W przypadku powiązanego urządzenia RUGGEDCOM APE1808, Siemens zaleca kontakt z pomocą techniczną w celu uzyskania informacji o łatce i aktualizacji .

Szersze implikacje dla bezpieczeństwa infrastruktury krytycznej

• Krytyczne znaczenie sieci OT. Przełączniki RUGGEDCOM ROX stanowią szkielet sieci w stacjach elektroenergetycznych, systemach sterowania rurociągami i sieciach przemysłowych. Pełne przejęcie tych urządzeń na poziomie roota może pozwolić atakującemu na zakłócanie, manipulowanie lub monitorowanie procesów przemysłowych na dużą skalę .
• Łańcuch exploitów obniża próg umiejętności. Zamiast wymagać pojedynczej krytycznej luki, ten trzyetapowy łańcuch pozwala atakującemu przejść od odczytu plików do trwałego dostępu root. Ten modułowy wzorzec ataku staje się coraz bardziej powszechny w kampaniach wymierzonych w systemy OT .
• Szeroka baza zainstalowanych urządzeń. Luka obejmuje 11 modeli urządzeń wdrożonych na całym świecie w sektorach energetycznym, produkcyjnym, wodnym i transportowym. Wiele z tych urządzeń znajduje się w środowiskach o długich cyklach łatania i ograniczonej segmentacji sieci .
• Rosnące obciążenie łataniem dla operatorów objętych dyrektywą NIS2. To ujawnienie jest częścią szerszego trendu — między sierpniem a grudniem 2025 roku Siemens wydał sześć krytycznych biuletynów OT. Narastająca liczba luk obciąża właścicieli aktywów, którzy muszą utrzymać dostępność podczas łatania głęboko osadzonego sprzętu sieciowego .

Nie opublikowano dowodów na aktywne wykorzystanie tych luk w środowisku produkcyjnym (na dzień 18 lipca 2026 roku), ale Unit 42 podkreśla, że atakujący z dostępem sieciowym do interfejsu zarządzania mogą zdalnie wykorzystać ten łańcuch .