CVE-2026-27565: критическая RCE через загрузку вредоносного файла IODD в промышленных IO-Link-модулях
В промышленных IO-Link-модулях Pepperl+Fuchs, Phoenix Contact и Carlo Gavazzi Automation обнаружена уязвимость CVE-2026-27565 с оценкой CVSS 9.8. Неаутентифицированный удалённый атакующий может загрузить вредоносный файл IODD и выполнить shell-скрипт с правами root. Уязвимость затрагивает широкий список моделей и требует немедленного внимания.
Подробности
Уязвимость заключается в возможности неаутентифицированного удалённого атакующего загрузить специально сформированный вредоносный файл IODD. В процессе обработки такого файла на устройстве размещается и выполняется shell-скрипт с привилегиями root. Ключевая особенность — скрипт сохраняет активность даже после перезагрузки устройства, что позволяет злоумышленнику закрепиться в системе и продолжить воздействие. Под уязвимость подпадают следующие продукты: - Pepperl+Fuchs: ICE2-8IOL1-G65L-V1D, ICE2-8IOL-G65L-V1D, ICE2-8IOL-K45P-RJ45, ICE2-8IOL-K45S-RJ45, ICE3-8IOL1-G65L-V1D, ICE3-8IOL-G65L-V1D, ICE3-8IOL-G65L-V1D-Y, ICE3-8IOL-K45P-RJ45, ICE3-8IOL-K45S-RJ45 - Phoenix Contact: IOL MA8 PN DI8, IOL MA8 EIP DI8 - Carlo Gavazzi Automation: YL212CEI8M1IO, YN115CEI8RPIO, YL212CPN8M1IO, YN115CPN8RPIO Поскольку эксплуатация не требует аутентификации, атакующему достаточно сетевого доступа к устройству. В промышленных сетях такие модули нередко доступны из смежных сегментов, что повышает риск компрометации.Что делать
В первую очередь рекомендуется обратиться к производителям за официальными обновлениями прошивки и инструкциями по устранению уязвимости. Если патч ещё не выпущен или его установка невозможна, следует применить компенсирующие меры: - Ограничить сетевой доступ к IO-Link-модулям, изолировав их в отдельном сегменте и закрыв ненужные порты. - Запретить или строго контролировать загрузку файлов IODD из недоверенных источников. - Разместить устройства за межсетевым экраном с фильтрацией трафика и применять списки разрешённых подключений. - Организовать мониторинг подозрительной активности: неожиданные загрузки файлов, изменения в файловой системе, сетевые соединения от устройств. - Провести инвентаризацию парка оборудования, чтобы выявить все затронутые модели и приоритизировать их защиту. Итог: CVE-2026-27565 — критическая уязвимость удалённого выполнения кода с правами root и возможностью закрепления после перезагрузки. Учитывая широкий список затронутых устройств и отсутствие необходимости в аутентификации, игнорировать её нельзя. Немедленное обновление прошивки и изоляция промышленных сетей — ключевые шаги для снижения риска.Источник: CVE Project (cvelistV5)