Уязвимость неправильного контроля доступа в DIAEnergie (CVE-2026-78313)

В системе управления энергопотреблением DIAEnergie, разработанной компанией Delta Electronics, обнаружена уязвимость класса «неправильный контроль доступа» (Improper Access Control). Проблеме присвоен идентификатор CVE-2026-78313, а базовая оценка по шкале CVSS составляет 6.5, что соответствует среднему уровню критичности.

Подробности

Уязвимость затрагивает продукт Deltaww DIAEnergie во всех версиях ниже 1.11.00.022. DIAEnergie — это платформа для мониторинга и управления энергопотреблением, применяемая на промышленных объектах, поэтому недостатки контроля доступа в подобных системах представляют особый интерес для злоумышленников, стремящихся получить несанкционированный доступ к инфраструктуре.

Суть проблемы заключается в некорректной реализации механизмов разграничения прав доступа. Из-за этой ошибки атакующий может выполнять действия или получать доступ к ресурсам, которые должны быть ограничены для его уровня привилегий. Согласно описанию, для эксплуатации не требуется наличие учётных данных с высокими правами — это увеличивает вероятность использования уязвимости в реальных атаках.

Оценка CVSS 6.5 отражает среднюю степень риска: уязвимость требует определённых условий для эксплуатации, однако способна привести к компрометации конфиденциальности и целостности данных. Точные векторы атаки и сценарии эксплуатации в записи CVE не раскрываются.

Что делать

Основная и наиболее надёжная мера — обновление DIAEnergie до версии 1.11.00.022 или более поздней. Производитель выпустил исправление, устраняющее некорректную логику контроля доступа, поэтому переход на актуальную версию закрывает уязвимость полностью.

До момента установки обновления рекомендуется применить компенсирующие меры:

• ограничить сетевой доступ к интерфейсам DIAEnergie — система не должна быть доступна из интернета;
• разместить компоненты решения за межсетевым экраном и использовать сегментацию сети для изоляции промышленного контура;
• включить журналирование и мониторинг обращений к административным функциям для выявления подозрительной активности;
• проверить учётные записи пользователей и убедиться, что принцип минимальных привилегий соблюдается.

Если обновление невозможно в ближайшее время, следует рассмотреть временное отключение неиспользуемых функциональных модулей, снижающее поверхность атаки.

Уязвимость CVE-2026-78313 в DIAEnergie относится к среднему уровню критичности, однако затрагивает промышленную систему, где последствия несанкционированного доступа могут быть значительными. Наиболее эффективное решение — установка версии 1.11.00.022 или новее. Организациям, эксплуатирующим DIAEnergie, стоит включить это обновление в ближайший цикл планового обслуживания и проверить сетевую изоляцию системы.

Источник: CVE Project (cvelistV5)