Modul Siemens Mendix SAML obsahuje zranitelnost CVE-2026-89209 typu 'capture-replay' v autentizačních tocích iniciovaných IdP, která neautentizovanému vzdálenému útočníkovi umožňuje získat neoprávněný přístup znovupoužitím platného SAML tvrzení. Zranitelnost má CVSS 6.8 a Siemens pro dotčené verze vydal bezpečnostní aktualizace.
Kanadské kybernetické centrum informuje o zranitelnosti modulu Mendix SAML ve verzích pro Mendix 9, 10 a 11, která umožňuje obejití autentizace (SSA-137528). Zdroj doporučuje uživatelům a správcům prostudovat dostupné informace a aplikovat potřebné aktualizace.
Americká agentura CISA vydala 20 bezpečnostních upozornění týkajících se průmyslových řídicích systémů (ICS). Varování s nejvyšším skóre CVSS 10.0 pokrývají stovky zranitelností a týkají se mimo jiné produktů společností Siemens, InterSystems Corporation, Kiloview a Meari.
V dodatečném subsystému GNU/Linux pro Siemens SIMATIC S7-1500 TM MFP V1.1.1 bylo identifikováno několik zranitelností. Výrobce připravuje opravy a do jejich vydání doporučuje omezit přístup k interaktivnímu shellu pouze na důvěryhodné pracovníky a spouštět pouze aplikace z prověřených zdrojů.
Agentura CISA varuje před DoS zranitelností CVE-2024-7322 v pojistkách Siemens SENTRON 3NA COM ve verzích starších než V5.2. Chyba při zpracování zpráv pro správu sítě může vést ke změně identifikátoru uzlu a k obnovení provozu může být nutné celou síť znovu ustavit.
Podle agentury CISA obsahují zařízení SIMATIC S7-1500 vícečetné zranitelnosti ve webovém serveru. Útočník by mohl spustit škodlivý kód v relaci prohlížeče přihlášeného uživatele a provádět operace na PLC v rozsahu jeho oprávnění. Společnost Siemens připravuje opravy a prozatím doporučuje zavést specifická opatření ke zmírnění rizik.
Zařízení Siemens Industrial Edge obsahují zranitelnosti typu 'path traversal', které mohou autentizovanému vzdálenému útočníkovi umožnit přístup k citlivým interním informacím. Podle agentury CISA společnost Siemens vydala opravné verze pro vybrané zasažené produkty a doporučuje aktualizaci na nejnovější verze i nasazení dodatečných protiopatření.
Podle agentury CISA obsahují vybrané průmyslové počítače Siemens SIMATIC IPC zranitelnost CVE-2026-72895, způsobenou přítomností testovacího klíče dodavatele BIOSu v databázi UEFI Secure Boot. Místní útočník s fyzickým či administrativním přístupem by mohl ochranu Secure Boot obejít a spustit podepsaný systém či aplikaci. Společnost Siemens vydala nové verze firmwaru a doporučuje aktualizaci.
Zařízení Siemens RUGGEDCOM CROSSBOW Station Access Controller (SAC) obsahuje v integrované komponentě SQLite několik zranitelností, které mohou útočníkovi umožnit spuštění libovolného kódu, odmítnutí služby nebo získání citlivých informací. Společnost Siemens vydala opravnou verzi a doporučuje aktualizovat na verzi V6.0 nebo novější.
Zranitelnost typu 'DLL sideloading' (CVE-2026-110936) v Siemens Software Center před verzí V4.0.9.8 umožňuje autentizovanému lokálnímu útočníkovi spustit libovolný kód s právy aplikace. Podle výrobce i agentury CISA je chyba aktivně zneužívána a Siemens pro ni vydal opravnou verzi V4.0.9.8.
Podle agentury CISA obsahuje produkt Siemens PSS SINCAL zranitelnost typu zápis mimo vyhrazenou paměť v ovladači WibuKey (CVE-2026-84854). Chyba může útočníkovi umožnit způsobit pád systému a stav odmítnutí služby nebo modifikovat paměť jádra. Problém se týká konfigurací se starším typem hardwarového klíče WibuKey a výrobce doporučuje instalaci opraveného běhového prostředí nebo aktualizaci na novější verzi.
Produkty Siemens Capital Embedded AR Classic obsahují chybu CVE-2026-89208 typu 'out-of-bounds read', která neověřenému vzdálenému útočníkovi umožňuje číst data mimo vyhrazené hranice paketu. Výrobce vydal opravu pro verzi R20-11 a doporučuje přechod na verzi V2303 nebo novější a aplikaci síťové segmentace.
CISA a Siemens informují o zranitelnosti CVE-2026-59241 v softwaru SIMATIC WinCC, která autentizovanému uživateli s přístupem k databázi umožňuje spustit příkazy na hostitelském systému. Siemens pro některé verze vydal bezpečnostní aktualizace a doporučuje jejich instalaci či nasazení ochranných opatření.
V dodatečném subsystému GNU/Linux ve firmwaru V3.1.7 pro jednotky Siemens SIMATIC S7-1500 CPU 1518(F)-4 PN/DP MFP bylo zjištěno více než 400 zranitelností. Siemens připravuje opravy a do jejich vydání doporučuje omezit přístup k interaktivnímu shellu subsystému pouze na důvěryhodné osoby a spouštět aplikace pouze z prověřených zdrojů.
Aplikace Siemens Industrial Edge App Publisher obsahuje zranitelnosti CVE-2026-78556 a CVE-2026-78557 spočívající v chybné validaci certifikátů a neošetřeném vstupu z backendu. Útočník v síti může tyto chyby zkombinovat, vydávat se za řídicí server a dosáhnout vzdáleného spuštění kódu na cílovém stroji. Siemens vydal opravu a doporučuje přechod na verzi V1.27.9 nebo novější.
Podle agentury CISA se zranitelnosti v Nozomi Guardian/CMC týkají také průmyslových zařízení Siemens RUGGEDCOM APE1808. Chyby mohou útočníkům umožnit manipulaci s daty, zachycení přihlašovacích údajů, narušení dohledu nad sítí nebo podvržení identity přes CSRF.
Agentura CISA upozorňuje na četné zranitelnosti v produktu Siemens RUGGEDCOM CROSSBOW ve verzích starších než V6.0, které útočníkům umožňují provádět SQL injection, získat přihlašovací údaje správce, eskalovat oprávnění či způsobit odmítnutí služby. Společnost Siemens vydala opravnou verzi a doporučuje aktualizovat na V6.0 nebo novější.
CISA varuje před několika zranitelnostmi v produktech Siemens APOGEE, TALON a Desigo PXC/PXM, které mohou neověřenému útočníkovi umožnit způsobit odepření služby nebo číst data z paměti. Siemens vydal pro vybraná zařízení aktualizace a pro produkty bez dostupných oprav doporučuje uplatnit zmírňující opatření včetně síťové segmentace.
Knihovna .NET Client Library pro SIMATIC S7 Webserver API obsahuje chyby umožňující získat citlivé informace nebo zapisovat soubory mimo určený adresář. Siemens vydal opravné verze V3.3.61 a V3.3.62 a doporučuje provést aktualizaci.
Podle italského CSIRT vydala společnost Siemens bezpečnostní aktualizace pro opravu mnoha zranitelností ve svých produktech. Z těchto chyb jsou čtyři hodnoceny jako kritické a 14 jako vysoce závažné.
Podle nizozemského NCSC společnost Siemens odstranila zranitelnosti v produktech Desigo, Industrial Plus, RUGGEDCOM, SIMATIC a SIPLUS. Chyby mohou útočníkovi s přístupem k produkčnímu prostředí umožnit spuštění kódu s právy roota či správce, odmítnutí služby, eskalaci oprávnění nebo manipulaci s daty.
CERT-FR informuje o odhalení mnohačetných zranitelností v produktech společnosti Siemens. Některé z těchto chyb umožňují útočníkovi vzdálené spuštění libovolného kódu, navýšení oprávnění nebo způsobení vzdáleného odepření služby.
Agentura CISA oznámila odvolání bezpečnostního varování k produktu Siemens Mendix Runtime a zrušení zranitelnosti CVE-2026-7891. Opětovné prověření potvrdilo, že nahlášené chování představuje očekávanou konfiguraci platformy a nevystavuje chráněné atributy riziku.
Podle oznámení CISA obsahuje webový modul Open Interface Services (OIS) v produktech Siemens Siveillance Control a Siveillance Control Pro zranitelnost CVE-2026-50093 s CVSS 9. Tato chyba umožňuje nahrání libovolných souborů a může vést k získání oprávnění root na serveru OIS. Společnost Siemens vydala opravné aktualizace.
Produkty Siemens SIMOVE Fleetmanager a SIPLANT obsahují chybu typu path traversal (CVE-2026-67367), která může neověřenému vzdálenému útočníkovi umožnit číst libovolné soubory z operačního systému. Siemens vydal opravené verze a doporučuje aktualizaci na nejnovější vydání.
CISA informuje o zranitelnosti CVE-2026-34223 v rodině produktů Siemens Desigo CC verze V6 a V7. Nedostatečné ověřování skriptů vložených v grafických dokumentech může útočníkovi umožnit spuštění libovolného kódu na klientském zařízení a zápis souborů do operačního systému.
Vysoce závažná chyba CVE-2026-31431 s CVSS 7.8 v kryptografickém subsystému jádra Linuxu umožňuje lokálnímu uživateli eskalaci privilegií až na úroveň root. Zranitelnost postihuje jádra sestavená od roku 2017 a byla hlášena jako aktivně zneužívaná v praxi; výrobci a průmyslové platformy postupně vydávají aktualizace.
Zařízení Siemens WTV676 a WTV776 obsahují zranitelnost CVE-2026-89207 se závažností CVSS 6,5 způsobenou nesprávným ověřováním vstupu ze služeb backendu. Neautentizovaný vzdálený útočník může zařízení uvést do ochranného režimu a zablokovat funkce vzdálené správy přes webové rozhraní. Siemens na tuto chybu typu Denial of Service vydal bezpečnostní aktualizace.
Kritická zranitelnost CVE-2026-18963 se skóre CVSS 9,1 v komponentě keycloak-services umožňuje neautentizovanému vzdálenému útočníkovi obejít ověření přes e-mail a nastavením nových přihlašovacích údajů zcela převzít jakýkoli uživatelský účet. Problém zasáhl také produkty Siemens Industrial Edge Management, přičemž Red Hat i Siemens již pro své dotčené systémy vydali opravy.
Zařízení Siemens Reyrolle 7SR5 ve verzích před V2.70 obsahují četné zranitelnosti včetně chyb ve webovém serveru Cesanta Mongoose v7.14. Tyto nedostatky mohou útočníkovi umožnit obejít autentizaci nebo způsobit odepření služby. Výrobce doporučuje aktualizovat na verzi V2.70 nebo novější.
Vysoká zranitelnost CVE-2026-80465 se skóre CVSS 8,7 v modulu Siemens Mendix SAML spočívá v nesprávném ověřování podpisu odpovědi SAML. V určitých konfiguracích SSO může neautentizovanému vzdálenému útočníkovi umožnit obejít autentizaci a převzít cizí účet či relaci, přičemž výrobce vydal opravné verze.
Agentura CISA informuje o zranitelnosti typu reflected XSS (CVE-2026-58113) v řešení Siemens Teamcenter v přesměrování při autentizaci. Neověřený vzdálený útočník může pomocí podvržené URL vložit JavaScript do relace ověřeného uživatele a provádět v ní neoprávněné akce.
Kanadské kybernetické centrum upozornilo na zranitelnosti v řadě produktů společnosti Siemens, mezi něž patří Reyrolle 7SR5 ve verzích před V2.70, Teamcenter, Siveillance Control či rodina Desigo CC. Správcům doporučuje sledovat podrobnosti a aplikovat potřebné aktualizace, jakmile budou dostupné.
Podle NCSC-NL společnost Siemens vyřešila zranitelnosti v produktech jako Desigo, Reyrolle, SIMATIC, SCALANCE, SINAMICS a Siveillance. Chyby mohou útočníkovi s přístupem do produkčního prostředí umožnit například spuštění kódu, odmítnutí služby, manipulaci s daty či zvýšení oprávnění.
Společnost Siemens vydala bezpečnostní aktualizace k odstranění mnoha zranitelností ve svých produktech. Podle zdroje mají dvě z těchto chyb kritickou a osm vysokou závažnost.
V produktech Siemens bylo odhaleno několik zranitelností. Podle bezpečnostního varování mohou útočníkovi umožnit spuštění libovolného kódu a navýšení oprávnění.
Kanadské středisko Cyber Centre upozorňuje na bezpečnostní zranitelnost v modulech Siemens Mendix SAML, která se týká verzí kompatibilních s Mendix 10 a 11 před verzí V4.2.3 a Mendix 9.24 před verzí V3.6.27. Zranitelnost umožňuje převzetí účtu a organizace doporučuje uživatelům i správcům aplikovat dostupné aktualizace.
Kanadské centrum pro kybernetickou bezpečnost upozorňuje na zranitelnost v produktech Siemens Element maps-ng verzí V47 starších než V47.12.3, V48 starších než V48.11.3 a V49 starších než V49.16.1. Centrum doporučuje správcům seznámit se s dostupnými informacemi a aplikovat potřebné aktualizace.
Podle CSIRT Itálie Siemens vydal bezpečnostní aktualizace pro vysokou zranitelnost v knihovně Element Maps. Zdroj uvádí, že neopravená chyba by mohla útočníkovi umožnit vložit libovolný kód do relace prohlížeče na cílovém systému.
Americké CISA zveřejnilo devět bezpečnostních doporučení týkajících se zranitelností v průmyslových řídicích systémech, včetně produktů od společností Optigo Networks, Lantronix, Siemens, Bendix a dalších. Zdroj uvádí, že některé zranitelnosti mají vysokou závažnost a jsou k dispozici oficiální opravy.
Zařízení Siemens SIMATIC IoT2050 Advanced se systémem Industrial OS a nainstalovaným Node-RED obsahují chybu chybějící autentizace v HTTP rozhraní Node-RED (CVE-2026-58115), která by mohla umožnit neověřenému vzdálenému útočníkovi vytvářet škodlivé toky a spouštět libovolný kód se svrchovanými oprávněními. Siemens vydal novou verzi a doporučuje aktualizaci na verzi 4.3.4.1 nebo novější.
Týdenní přehled od Check Point Research obsahuje několik významných incidentů: Lotyšská agentura silničního provozu potvrdila únik dat 1,2 milionu osob a 200 000 organizací zneužitím zranitelnosti; japonský poskytovatel hostingu Sakura Internet ohlásil neoprávněný přístup k 1,36 milionu účtů a instalaci malwaru; kanadská dětská nemocnice The Hospital for Sick Children hlásí krádež dat třetí strany; berlínské úřady izolovali ministerstva od sítě po narušení. Zdroj také popisuje útoky využívající…
Americké vládní agentury varují, že neatribuovaní útočníci aktivně ohrožují exponované Siemens S7 Series PLC v kritické infrastruktuře pomocí AI-generovaných skriptů nástrojů vydávajících se za legitimní software. Podle vydavatelů hrozba pokrývá modely S7-200, S7-300, S7-400, S7-1200 a S7-1500, přičemž nejpůsobivěji zasahuje sektory výroby, energetiky, vodárenství a chemického průmyslu; zmírnění spočívá v izolaci PLC od internetu a sítí.
Americké bezpečnostní agentury NSA a FBI oznámily, že útočníci používají v kampani nástroje s umělou inteligencí. Cílí přitom na průmyslové automaty Siemens S7 Series a zneužívají známých zranitelností.
Americké agentury pro kybernetickou bezpečnost upozorňují, že útočníci používají skrze umělou inteligenci generované skripty k exploitaci Siemens S7 Series programovatelných logických kontrolérů v americké kritické infrastruktuře.
Bezpečnostní agentury NSA, CISA, FBI, DOE a EPA vydaly varování před aktivní kybernetickou hrozbou vůči programovatelným logickým řadičům Siemens S7 Series. Útočníci používají umělou inteligenci k vytváření skriptů pro zneužití zranitelností a skenují internet, aby našli vystavené zastaralé jednotky; cílí přitom zejména na kritickou infrastrukturu v sektoru výroby, energetiky, vodárenství a zemědělství.
Agentura CISA zveřejnila dvě doporučení zaměřená na bezpečnostní problémy v průmyslových řídicích systémech. Doporučení ICSA-26-230-01 se týká produktu Malcolm a doporučení ICSA-26-230-02 se týká Siemens Simcenter Nastran.
Siemens oznámil stack overflow zranitelnost (CVE-2026-59086) v produktech Simcenter Nastran a Simcenter Femap verze nižší než 2606, kterou lze spustit pomocí speciálního řetězce předaného jako argument aplikaci. Podle zdroje by útočník mohl leveragovat zranitelnost k provedení vzdáleného kódu v kontextu aktuálního procesu, pokud by uživatel spustil postižený program se škodlivým řetězcem; Siemens doporučuje aktualizaci na verzi 2606 nebo novější.
Podle CISA uvádí Siemens, že Simcenter Femap obsahuje dvě zranitelnosti při parsování souborů BMP, které by mohly vést k pádu aplikace nebo libovolnému spuštění kódu. Siemens vydal novou verzi V2606.0001 a doporučuje uživatelům aktualizaci.
Zdroj uvádí, že Siemens Solid Edge SE2025 a SE2026 jsou postiženy více chybami v parsování souborů (PAR, PSM, DFT), které mohou vést k pádu aplikace nebo spuštění libovolného kódu. Siemens vydal aktualizace; dopad se týká kritické infrastruktury v oblasti výroby.
Zdroj uvádí, že Siemens LOGO! Soft Comfort verze starší než V9 obsahuje zranitelnosti v šifrování projektových souborů a správě hesel (CVE-2026-57262, CVE-2026-57263). Lokální útočník by mohl zneužít statický hardkódovaný šifrovací klíč nebo odsolit heslo a získat přístup k citlivým projektovým datům. Siemens doporučuje aktualizovat na verzi V9 nebo novější.
Zdroj upozorňuje na kritickou zranitelnost (CVE-2026-3014) v serverech Siemens Siveillance Video, která by mohla umožnit vzdálené spuštění kódu. Siemens vydal aktualizované verze pro postižené produkty verze V2023 R3, V2024 R1 a V2025, kterou doporučuje nasadit.
Zdroj uvádí zranitelnost v řadičích Siemens Desigo DXR a PXC, kterou lze zneužít k vyvolání odmítnutí služby odesláním porušeného paketu BACnet. Obnova funkčnosti vyžaduje restart nebo resetování zařízení. Siemens vydal aktualizované verze a doporučuje upgrade na poslední dostupné verze.
Podle CISA jsou v Siemens License Server (SLS) verze pod 5.1 a 5.3 zranitelnosti CVE-2026-69108 a CVE-2026-69109 umožňující místní eskalaci privilegií a vzdálený přístup k libovolným souborům. Siemens doporučuje aktualizaci na verzi 5.1 nebo novější.
Podle zdroje je Siemens Parasolid v38.0 a v38.1 zasažen chybou při čtení mimo hranice paměti (CVE-2026-64629) vyskytující se při parsování souborů X_T. Zdroj uvádí, že útočník by mohl aplikaci zhavarovat nebo provést libovolný kód; Siemens vydal opravené verze a doporučuje aktualizaci.
Zdroj uvádí, že Siemens RUGGEDCOM APE1808 se všemi verzemi je ohrožen dvěma zranitelnostmi souvisejícími s produkty Fortinet: Cross-site Scripting (CVE-2026-23573, CVSS 6.1) a Path Traversal (CVE-2026-59839, CVSS 5.5). Siemens doporučuje kontaktovat zákaznickou podporu a postupovat podle doporučení vydavatele Fortinet pro zmírnění.
Podle CERT-FR byly objeveny zranitelnosti v produktech Siemens, které umožňují vzdálené spuštění libovolného kódu, vzdálené odmítnutí služby a obejití bezpečnostní politiky.
Cyber Centre Kanady upozorňuje na zranitelnosti v řadě produktů společnosti Siemens, včetně řešení Desigo, LOGO! Soft Comfort, Parasolid, SIMATIC IoT2050, Siemens License Server a dalších. Centrum doporučuje uživatelům a správcům aplikovat dostupné aktualizace.
Siemens vydal bezpečnostní aktualizace pro řešení více zranitelností ve svých produktech, včetně jedné kritické a třinácti zranitelností s vysokou závažností. Zdroj uvádí, že jejich zneužití by mohlo útočníkům umožnit provést libovolný kód a číst soubory v systémech.
Podle zdroje Siemens vydal bezpečnostní aktualizace pro systém Desigo CC k opravě kritické zranitelnosti (CVSS 9.8), která by mohla umožnit vzdálené spuštění kódu nebo způsobit nedostupnost systému. Zranitelnost se týká organizací využívajících tento Building Management System pro řízení budov.