CVE-2026-43847: неограниченный брутфорс пароля администратора в Advantech ADAM-3600

В промышленном контроллере Advantech ADAM-3600 выявлена уязвимость, связанная с отсутствием ограничений при аутентификации по проприетарному протоколу. Проблеме присвоен идентификатор CVE-2026-43847 и высокий уровень опасности — CVSS 8.2.

Подробности

Уязвимость затрагивает устройство Advantech ADAM-3600. По описанию CVE, ошибка кроется в реализации проприетарного протокола: атакующий может неограниченно перебирать пароль администратора, причём ограничения не действуют даже при включённой функции SafeEnhancement, которая, судя по всему, задумана как механизм усиления безопасности.

Отсутствие блокировки учётной записи, задержек между попытками или иных барьеров для brute force создаёт условия для подбора слабых и типовых паролей. Успешный подбор даёт атакующему доступ с правами администратора, что для промышленного контроллера означает прямой риск несанкционированного изменения конфигурации и вмешательства в технологические процессы. CVSS-оценка 8.2 относит уязвимость к категории HIGH.

Что делать

Официальные рекомендации производителя в записи CVE не приводятся, поэтому приоритет — проверить наличие обновления прошивки ADAM-3600 у Advantech и установить его. До выхода патча целесообразно применить компенсирующие меры:

• ограничить сетевой доступ к устройству — изолировать его в отдельном сегменте и закрыть проприетарный протокол межсетевым экраном, разрешив подключения только с доверенных хостов;
• использовать длинные уникальные пароли администратора, исключающие подбор, и регулярно их менять;
• включить мониторинг журналов аутентификации и оповещения о сериях неудачных попыток входа;
• учитывать, что SafeEnhancement в данном сценарии защиту не обеспечивает и не может рассматриваться как митигация.

Уязвимость CVE-2026-43847 наглядно показывает, что наличие «фичи безопасности» не заменяет базовых механизмов защиты от подбора паролей. Владельцам ADAM-3600 стоит оперативно проверить доступность прошивки и сетевую доступность устройств.

Источник: CVE Project (cvelistV5)