Agentura CISA upozorňuje na zranitelnosti CVE-2026-81821, CVE-2026-81822, CVE-2026-81823 a CVE-2026-81824 v aplikaci AVEVA Pipeline Integrity Monitor do verze 2025_SP1_P1_build_7.1.9580.8513. Útočníkům mohou umožnit získat citlivé informace, prolamovat slabé hashe hesel nebo spouštět škodlivý kód v prohlížeči. Dodavatel doporučuje aplikovat bezpečnostní aktualizaci 2025 SP1 P2 a migrovat projektové soubory.
Kanadské Cyber Centre informuje o zranitelnosti v systému Ignition společnosti Inductive Automation ve verzích do 8.1.53 včetně. Uživatelům a správcům doporučuje prostudovat poskytnuté odkazy a aplikovat potřebné aktualizace, jakmile budou k dispozici.
Kanadské kybernetické centrum upozornilo na zranitelnosti v řadě produktů společnosti Siemens, mezi něž patří Reyrolle 7SR5 ve verzích před V2.70, Teamcenter, Siveillance Control či rodina Desigo CC. Správcům doporučuje sledovat podrobnosti a aplikovat potřebné aktualizace, jakmile budou dostupné.
Podle NCSC-NL společnost Siemens vyřešila zranitelnosti v produktech jako Desigo, Reyrolle, SIMATIC, SCALANCE, SINAMICS a Siveillance. Chyby mohou útočníkovi s přístupem do produkčního prostředí umožnit například spuštění kódu, odmítnutí služby, manipulaci s daty či zvýšení oprávnění.
Schneider Electric vydal bezpečnostní aktualizace pro odstranění vícečetných zranitelností ve svých produktech. Podle oznámení je jedna z chyb hodnocena jako kritická a tři jako vysoce závažné.
Podle bezpečnostního varování CERT-FR bylo v řešení Schneider Electric EcoStruxure odhaleno několik zranitelností. Útočníkům umožňují vzdálené spuštění libovolného kódu a podvržení požadavků na straně serveru (SSRF).
Podle agentury CISA obsahuje Pyramid Solutions NetStaX EtherNet/IP Stack ve verzích před v5.6.1 zranitelnost přetečení zásobníku CVE-2026-78012 s CVSS 9.8. Úspěšné zneužití může vést k poškození paměti, pádu zařízení nebo vzdálenému útoku, přičemž problém řeší verze v5.6.1.
Agentura CISA informuje o zranitelnostech v zařízení Rockwell Automation ArmorStart LT ve verzích do v2.001 včetně (CVE-2026-19471 a CVE-2026-19472). Chyby umožňují způsobit odepření služby vestavěného webového serveru nebo injektovat škodlivé skripty přes uložené XSS. Výrobce problémy opravil ve verzi firmwaru v2.002 a doporučuje aktualizaci.
Agentura CISA informuje o zranitelnosti CVE-2026-12663 v nástroji Rockwell Automation ControlFLASH do verze 15.07, která kvůli nesprávným oprávněním instalačního adresáře umožňuje spuštění libovolného kódu. Výrobce vydal opravu ve verzi 15.08 a doporučuje aktualizaci nebo manuální odebrání skupiny 'Everyone' z přístupových práv.
Podle agentury CISA obsahují vybrané produkty Schneider Electric z řad Easergy, EcoStruxure, PowerLogic a Saitel zranitelnost CVE-2026-4827 s CVSS skóre 8.3. Chyba způsobená nedostatečnou entropií může síťovému útočníkovi umožnit zneužít správu relací, převzít relaci a provádět neoprávněné operace v systému.
Agentura CISA informovala o zranitelnostech v zařízení Tycon Systems TPDIN-Monitor-WEB3 do verze 2.2.9. Chyby mohou útočníkům umožnit útok typu MitM, obnovení do továrního nastavení nebo získání citlivých údajů. Výrobce vydal opravu ve firmwaru v2.4.2.
Agentura CISA upozornila na zranitelnost CVE-2026-77477 v instalátorech OPC UA LDS verzí nižších než 1.04.420. Podle zdroje může útočník s přístupem ke klávesnici a obrazovce během instalace ovládnout konzoli s vysokými oprávněními a spouštět libovolné příkazy.
Agentura CISA upozorňuje na zranitelnost CVE-2026-77393 v platformě Inductive Automation Ignition verze 8.1.53 a starších. Chyba způsobená prázdným výchozím nastavením role může přihlášenému uživateli umožnit vytvářet projekty, pokud dokáže spouštět skripty brány. Výrobce doporučuje přechod na verzi 8.1.54 nebo manuální konfiguraci příslušného nastavení.
Agentura CISA informovala o zranitelnostech v zařízení Tycon Systems TPDIN-Monitor-WEB2 ve verzích starších než 2.4.5. Chyby mohou útočníkovi umožnit získat přihlašovací údaje, narušit infrastrukturu nebo manipulovat s fyzickým zařízením. Výrobce vydal opravný firmware 2.4.5.
CISA varuje před zranitelností modulu Rockwell Automation 1756-ENBT (CVE-2025-10478), která umožňuje útočníkovi vyvolat pád zařízení odesláním speciálně vytvořeného CIP paketu. K obnovení provozu je nutný restart zařízení a výrobce uživatelům doporučuje přechod na moduly 1756-EN2T nebo 1756-EN4TR.
Finský úřad NCSC-FI varuje před závažnými zranitelnostmi v produktech Rockwell Automation FactoryTalk Activation Manager a RSLinx Classic. Úspěšné zneužití chyb s CVSS skóre 8.6 může útočníkovi umožnit způsobit odmítnutí služby (DoS). K dispozici je již oficiální oprava.
Kanadské kybernetické centrum upozorňuje na bezpečnostní zranitelnosti v produktech Schneider Electric NetBotz 5 - 750/755 ve verzích do 5.5.2 a PowerChute Serial Shutdown do verze 1.5. Podle zdroje se u zařízení NetBotz vyskytuje několik chyb, zatímco PowerChute obsahuje zranitelnost spočívající v nedostatečném omezení nadměrného počtu pokusů o autentizaci.
Italský CSIRT informuje o odhalení nových bezpečnostních chyb v různých produktech společnosti Rockwell Automation. Pět z těchto zranitelností dosahuje vysoké závažnosti.
Kanadské kybernetické centrum informovalo o zranitelnostech v produktech společnosti Rockwell Automation, mezi které patří moduly 1756-ENBT, ArmorStart LT, CompactLogix 5380, ControlLogix 5580 a RSLinx Classic v dotčených verzích. Centrum doporučuje uživatelům a správcům prostudovat vydaná bezpečnostní doporučení a aplikovat potřebné aktualizace, jakmile budou dostupné.
Agentura CISA informuje o zranitelnosti zvýšení oprávnění CVE-2026-16675 v produktu Rockwell Automation FactoryTalk Activation Manager ve verzi V5.02 a starších. Chyba umožňuje přihlášenému útočníkovi s oprávněními v systému Windows zneužít konzolová okna spouštěná instalátorem a získat úroveň oprávnění SYSTEM.
Agentura CISA informovala o zranitelnostech CVE-2026-9633 a CVE-2026-9634 v nástroji Rockwell Automation Redundancy Module Configuration Tool. Chyby způsobené nesprávným výchozím nastavením oprávnění umožňují lokálnímu útočníkovi podvrhnout škodlivou knihovnu DLL a spustit procesy s administrátorskými právy. Výrobce vydal opravnou verzi 10.01.00.
Agentura CISA informovala o zranitelnosti CVE-2026-9637 v produktech Rockwell Automation Logix Platform, která je způsobena nesprávným ověřením délky vstupu při zpracování zpráv CIP. Chyba může vést k odmítnutí služby a vyžádat si restart zařízení, přičemž výrobce doporučuje aktualizaci na opravené verze firmwaru.
CISA varuje před zranitelností CVE-2021-42260 v kontrolérech rodin ControlLogix, CompactLogix a GuardLogix od Rockwell Automation. Chyba typu nekonečné smyčky umožňuje vyvolat odepření služby a neobnovitelnou poruchu zařízení pomocí speciálně upravených dat.
Agentura CISA upozorňuje na bezpečnostní chyby v produktech Rockwell Automation Historian ME verzí Series B 5.202 a Series C 7.101. Útočník může zneužitím způsobit pád zařízení nebo vzdálené spuštění kódu.
Agentura CISA varuje před několika zranitelnostmi v softwaru Rockwell Automation RSLinx Classic do verze 4.50, které umožňují útočníkovi vyvolat odepření služby pomocí speciálně vytvořených paketů CIP. Výrobce vydal opravu ve verzi 4.60.
Podle oznámení VDE-2026-093 byla v procesu aktualizace firmwaru řídicích jednotek budov SAUTER modulo 6 a EY-modulo 5 nalezena zranitelnost. Tato chyba může neoprávněným osobám umožnit vzdálené spuštění kódu na dotčených zařízeních.
Kanadské centrum pro kybernetickou bezpečnost upozorňuje na zranitelnost v produktech Siemens Element maps-ng verzí V47 starších než V47.12.3, V48 starších než V48.11.3 a V49 starších než V49.16.1. Centrum doporučuje správcům seznámit se s dostupnými informacemi a aplikovat potřebné aktualizace.
Zdroj uvádí, že Cyber Centre Kanada označil zranitelnosti v National Instruments LabVIEW (verze před 23.0.0, 23.3.10, 24.3.7, 25.3.5 a 26.3.1), včetně chyb paměti, chyb konverze celých čísel a přetečení. Vydavatel doporučuje uživatelům a správcům aplikovat dostupné aktualizace.
Podle CERT@VDE obsahuje webové rozhraní přepínačů Murrelektronik Xelity chybu umožňující únik informací. Pokud administrátor použije funkci 'Copy learned MAC Addresses', zapíší se MAC adresy do systémového logu, odkud je může neautentizovaný útočník s přístupem k síti získat pomocí vývojářských nástrojů prohlížeče. Zranitelnost se objevila ve verzi 2.1.0 a byla opravena ve verzi 2.1.1.
Bezpečnostní routery Weidmüller IE-SR-2TX-WL a IE-SR-2TX-WL-4G obsahují chybu umožňující neautentizované vzdálené spuštění kódu. Model IE-SR-2TX-WL-4G je navíc zasažen zranitelností obcházení autorizace hesel přes SMS. Výrobce vydal nové verze firmwaru, které tyto problémy řeší.
Podle bezpečnostního oznámení VDE-2026-078 obsahuje produkt Frauscher Sensortechnik FDS102 pro FAdC/FAdCi R2 řadu zranitelností. Mezi identifikované chyby patří neomezené nahrávání nebezpečných souborů, procházení adresářů, ukládání citlivých údajů do protokolů, chyby v autorizaci a autentizaci či CSRF.
Bezpečnostní upozornění se zabývá několika zranitelnostmi způsobenými nesprávnou validací vstupů ve firmwaru PLCnext před verzí 2026.0.3. Neověření útočníci mohou podle zdroje způsobit odepření služby, vyvolat neočekávané chování systému nebo provádět neoprávněné SQL dotazy na zařízeních PLCnext Control. Všechny problémy řeší verze firmwaru 2026.0.3.
Podle bezpečnostního oznámení VDE-2025-007 ovlivňuje problém roku 2038 systémy používající 32bitové celé číslo pro reprezentaci času od 1. ledna 1970. Dne 19. ledna 2038 v 03:14:07 UTC překročí hodnota času maximum pro 32bitové číslo, což způsobí přetečení a reset na zápornou hodnotu.
Linuxové jádro linux-image-revpi-v8 používané v zařízeních IndustrialPI obsahuje před verzí 6.12.91-revpi0-rpi-v8 více zranitelností. Úspěšné zneužití těchto chyb může podle oznámení poskytnout útočníkovi plnou kontrolu nad zařízením.
Pravidelný souhrn popisuje útoky na vodárny v Minnesotě, telekomunikačního operátora Unitel i úniky dat u Bank of Baroda a Amgen. Přináší také zprávy o zranitelnostech u Cisco, VMware či JetBrains a nových phishingových či špionážních kampaních.
Podle bezpečnostního oznámení VDE-2026-065 umožňuje zranitelnost v iDTM FDI útočníkovi se zvýšenými oprávněními a přístupem k hostitelskému systému aktivovat ladicí rozhraní. K aktivaci dojde umístěním speciálně vytvořeného souboru do adresáře aplikace.
V bezpečnostním upozornění VDE-2026-008 bylo oznámeno několik zranitelností ve firmwaru EV nabíjecích kontrolérů řady CHARX SEC-3xxx, konkrétně modelů SEC-3000, SEC-3050, SEC-3100 a SEC-3150. Podle zdroje mohou útočníci tyto chyby zneužít k provedení vzdáleného útoku, který může vést k úplné ztrátě důvěrnosti, integrity a dostupnosti zařízení.
Zdroj uvádí, že zranitelnost v zařízeních Phoenix Contact CHARX SEC-3000 umožňuje útočníkům v lokální síti odhalit citlivé informace bez potřeby autentizace. Vydavatel přiřadil zranitelnosti skóre CVSS 6,5 a identifikátor CVE-2026-41032.
V doplňku CODESYS PROFINET byla zjištěna zranitelnost typu out-of-bounds write při zpracování neplatných komunikačních dat. Podle bezpečnostního oznámení vede její vyvolání k pádu a řízenému zastavení zasažené PLC aplikace v runtime systému CODESYS Control, přičemž vzdálené spuštění kódu se nepředpokládá.
Podle oznámení VDE-2026-076 obsahují zařízení ADS-TEC IRF1000 a IRF3000 ve verzích firmwaru starších než 2.3.0 řadu zranitelností. Chyby v autorizaci a webovém rozhraní i v komponentách třetích stran dnsmasq, OpenSC a OpenSSL byly opraveny ve firmwaru verze 2.3.0.
Vzdálený neautentizovaný útočník může podle bezpečnostního oznámení zneužít zranitelnost typu SQL injection v systému PROCON-WEB SCADA k provedení libovolných příkazů.
Podle bezpečnostního oznámení VDE-2026-077 obsahují zařízení Lenze z produktových řad Controller a Servo Drive zranitelnost v mechanismu aktivace servisního přístupu. Kvůli chybě při ověřování podpisu souboru pro aktivaci SSH může neoprávněná osoba získat přístup k zařízení.
Bezpečnostní tým CERT@VDE informoval o existenci několika zranitelností typu SQL Injection v produktech myREX24V2 a myREX24V2.virtual od společnosti Helmholz pod označením VDE-2026-058.
Podle bezpečnostního varování VDE-2026-062 jsou některá zařízení Murrelektronik využívající Profinet dodávána s výchozími SNMP komunitami 'public' pro čtení a 'private' pro zápis. Pokud zůstanou tyto řetězce nezměněny, neautentizovaný útočník se síťovým přístupem k zařízení může číst jeho konfiguraci a případně upravovat jeho nastavení.
Podle bezpečnostního oznámení obsahuje knihovna protokolu CODESYS EtherNet/IP adapter zranitelnost v obsluze časových limitů u aktivních TCP spojení. Za nestandardních provozních podmínek systém neuvolňuje vypršená spojení, což po vyčerpání dostupných spojení brání navázání nových.
Podle bezpečnostního oznámení VDE-2026-031 povolují některá zařízení řady WAGO System I/O Field během počáteční fáze spouštění interní diagnostické funkce. Toto chování může za určitých podmínek krátkodobě umožnit přístup k systémovým funkcím a komponentám, které jsou za běžného provozu chráněny.
Podle bezpečnostního varování CERT@VDE obsahují zařízení JUMO mTRONT, DICON touch a AQUIS touch chyby webového serveru CVE-2013-6786, CVE-2014-9222 a CVE-2014-9223. Tyto zranitelnosti umožňují odepření služby (DoS) prostřednictvím zranitelnosti typu 'misfortune cookie' a útoky reflected XSS.
V bránách MBS Universal Gateways řad UGW-A a UGW-X ve verzi V6_0_0_5 a starších bylo nalezeno několik bezpečnostních chyb. Podle zdroje nedostatky zahrnují nedostatečnou validaci vstupů v metodách CGI, přetečení zásobníku umožňující spuštění kódu s právy rootu a pevně zakódované výchozí heslo servisního účtu.
Podle bezpečnostního oznámení VDE-2025-067 umožňuje zařízení Motherbox 3 s firmwarem 1.44 až 1.48 neověřenému vzdálenému útočníkovi přístup pro čtení k interní databázi. Ta obsahuje naměřené hodnoty ze senzorických zařízení značky Wiesemann & Theis.
Bezpečnostní upozornění VDE-2026-049 informuje o více zranitelnostech v zařízeních Balluff BNI EGW-720-007-K095 a BAV MA-NC-00025-01. Podle zprávy tyto chyby postihují softwarové komponenty ve verzích firmwaru starších než 2.4.1.
Podle bezpečnostního oznámení obsahují zranitelné verze firmwaru zařízení VEGAPULS nezabezpečené konfigurační rozhraní. Uživatelé bez oprávnění nebo s nízkými právy tak mohou získat citlivé informace včetně zahashovaných přihlašovacích údajů a následně se vydávat za oprávněné uživatele.
CERT@VDE informuje o zranitelnosti VDE-2026-070 v produktech Helmholz myREX24V2 a myREX24V2.virtual. Chyba umožňuje autentizovanému vzdálenému útočníkovi získat přístup ke skryté konfigurační metodě a upravovat kritické parametry programu.
Bezpečnostní upozornění uvádí zranitelnost v komponentě CmpApp běhového prostředí CODESYS Control, která uživatelům ve skupině Service umožňuje nainstalovat novou zaváděcí aplikaci bez kryptografického ověření, pokud není vynuceno podepisování aplikací. Uživatelé s těmito oprávněními tak mohou nahrát libovolný kód a získat kontrolu nad aplikacemi spouštěnými na řídicí jednotce.
Podle bezpečnostního upozornění obsahuje komponenta CmpAuditLog systému CODESYS Control zranitelnost typu format string. Neověřený vzdálený útočník může ovlivnit formátovací řetězec zpracovávaných zpráv protokolu, což má podle zdroje za následek pád běhového prostředí CODESYS Control.
V systému CODESYS Control byla zjištěna chyba nedostatečného ověření oprávnění. Autentizovaný vzdálený útočník s nízkými právy správce vizualizace může mazat účty s vyššími oprávněními, ačkoli nezávislé mechanismy brání smazání posledního hlavního administrátora zařízení. Zranitelnost se projevuje pouze v případě, že je povolena volitelná správa uživatelů vizualizace a existuje příslušný administrátorský účet.
V komponentě CmpWebServer běhového prostředí CODESYS Control byla zjištěna zranitelnost způsobená nesprávnou kontrolou mezí. Neautentizovaný vzdálený útočník může pomocí speciálně upraveného HTTP požadavku vyvolat zápis mimo meze a způsobit odmítnutí služby zařízení, pokud je aktivní webový server.
Podle oznámení VDE-2026-038 bylo v řízených ethernetových přepínačích odhaleno několik zranitelností. Chyby postihují firmware TBEN-Lx-SE-M2 ve verzích starších než 2.1.2.0.