Exploração em três etapas: as vulnerabilidades zero-day encadeadas nos switches Siemens RUGGEDCOM ROX II

As três vulnerabilidades zero-day encadeadas

A equipe de pesquisa Unit 42, da Palo Alto Networks, em parceria com a Siemens, divulgou uma cadeia de exploração em três etapas composta por CVE-2025-40948, CVE-2025-40947 e CVE-2025-40949 nos switches OT (tecnologia operacional) Siemens RUGGEDCOM ROX II. A exploração bem-sucedida concede ao atacante elevação total de privilégios e acesso root persistente ao dispositivo .

A cadeia funciona na seguinte sequência:

• CVE-2025-40948 (CVSS 6,8 — Médio) — Exposição arbitrária de arquivos devido a uma configuração insegura do utilitário xz, que é executado com privilégios de root. O atacante pode ler qualquer arquivo no sistema de arquivos do switch, incluindo arquivos de configuração, hashes de senhas e chaves criptográficas privadas .
• CVE-2025-40947 (CVSS 7,5 — Alto) — Escalonamento de privilégios por meio de injeção de comandos na função de validação de chave de recurso (feature key). A função não sanitiza corretamente um payload controlado pelo atacante antes de inseri-lo diretamente em um comando executado com privilégios de root, possibilitando acesso root completo .
• CVE-2025-40949 (CVSS 9,1 — Crítico) — Execução persistente de código como root no agendador de tarefas da interface web de gerenciamento do switch, devido à sanitização inadequada de entradas. Uma vez explorada, essa falha permite que o atacante mantenha acesso root de longo prazo no dispositivo .

Dispositivos e versões de firmware afetados

Todos os dispositivos da família RUGGEDCOM ROX II com firmware anterior à versão V2.17.1 estão vulneráveis. Os modelos específicos são:

• RUGGEDCOM ROX MX5000
• RUGGEDCOM ROX MX5000RE
• RUGGEDCOM ROX RX1400
• RUGGEDCOM ROX RX1500
• RUGGEDCOM ROX RX1501
• RUGGEDCOM ROX RX1510
• RUGGEDCOM ROX RX1511
• RUGGEDCOM ROX RX1512
• RUGGEDCOM ROX RX1524
• RUGGEDCOM ROX RX1536
• RUGGEDCOM ROX RX5000

Todos esses modelos são confirmados como afetados para as três CVEs em versões abaixo de V2.17.1 .

Correção disponível

A Siemens publicou o advisory de segurança SSA-577017 em 12 de maio de 2026 e liberou o firmware V2.17.1 para toda a família RUGGEDCOM ROX II . A medida recomendada é atualizar para V2.17.1 ou superior por meio do Siemens Industry Online Support .

A CISA (Agência de Segurança Cibernética e de Infraestrutura dos EUA) também emitiu um alerta em 14 de maio de 2026, recomendando que operadores apliquem a atualização de firmware . Para o dispositivo relacionado RUGGEDCOM APE1808, a Siemens orienta o contato com o suporte ao cliente para receber informações sobre patches e atualizações .

Implicações mais amplas para a segurança de infraestruturas críticas

• Exposição da espinha dorsal das redes OT. Os switches RUGGEDCOM ROX ficam no núcleo das redes de subestações elétricas, sistemas de controle de dutos e redes industriais. Um comprometimento em nível root desses dispositivos pode permitir que um atacante interrompa, manipule ou monitore processos industriais em escala .
• Exploração encadeada reduz a barreira técnica. Em vez de exigir uma única vulnerabilidade crítica, esta cadeia de três etapas permite que um atacante escale de leitura de arquivos a acesso root persistente. Esse padrão de ataque modular é cada vez mais comum em campanhas direcionadas a ambientes OT .
• Base instalada extensa. A vulnerabilidade abrange 11 modelos de dispositivos implantados globalmente nos setores de energia, manufatura, água e transporte. Muitos desses equipamentos operam em ambientes com ciclos de patch longos e segmentação de rede limitada .
• Pressão crescente sobre operadores regulados pela NIS2. Esta divulgação faz parte de uma tendência mais ampla — entre agosto e dezembro de 2025, a Siemens emitiu seis alertas críticos de OT. O volume crescente de vulnerabilidades sobrecarrega os gestores de ativos, que precisam manter a disponibilidade enquanto corrigem equipamentos de rede profundamente embarcados .
• Risco de dependência de terceiros. Além das três vulnerabilidades zero-day, o advisory SSA-577017 da Siemens agrupa dezenas de vulnerabilidades de terceiros (incluindo falhas no bootloader U-Boot) que também são corrigidas na V2.17.1, destacando como a composição de software da cadeia de suprimentos afeta a segurança dos dispositivos OT .

Não há evidências de exploração ativa dessas falhas publicadas até 18 de julho de 2026, mas a Unit 42 enfatiza que atacantes com acesso de rede à interface de gerenciamento podem transformar essa cadeia em um ataque remoto .