Scada-LTS 2.8.0: обход авторизации в AmCharts Data API (CVE-2026-115803)
В популярной open-source SCADA-системе Scada-LTS выявлена уязвимость, позволяющая обходить механизмы авторизации при обращении к API построения графиков. Проблема затрагивает промышленные и автоматизированные системы, где Scada-LTS используется для сбора и визуализации телеметрии.
Подробности
Уязвимость CVE-2026-115803 затрагивает Scada-LTS версии 2.8.0. Проблема локализована в функции HttpServletRequest.getParameter файла AmChartValuesAPI.java, относящегося к компоненту AmCharts Data API. При обработке аргумента ids отсутствует корректная проверка прав, из-за чего манипуляция этим параметром приводит к обходу авторизации (authorization bypass).
Атака может быть выполнена удалённо, без необходимости локального доступа к системе. Эксплойт уже опубликован в открытых источниках, что повышает риск практического использования. Уязвимости присвоен базовый балл CVSS 5.3 (MEDIUM) — это означает умеренный уровень риска, однако для промышленных систем даже такая оценка требует внимания, поскольку несанкционированный доступ к данным телеметрии может привести к раскрытию технологической информации и последующим атакам.
Вендор подтвердил осведомлённость о проблеме и заявил: «At this moment we are working on new release with security enhancements which will be introduced to the community soon» — то есть готовит новый релиз с усилением безопасности, который вскоре будет представлен сообществу.
Что делать
- Отслеживать выпуск обновлённой версии Scada-LTS от вендора и установить её сразу после публикации — это основной способ устранения уязвимости.
- До выхода патча ограничить сетевой доступ к интерфейсам Scada-LTS: не публиковать систему в интернет, размещать её за VPN или межсетевым экраном с белым списком адресов.
- Ограничить доступ к эндпоинтам AmCharts Data API на уровне reverse-proxy/WAF, блокируя подозрительные значения параметра
ids. - Включить журналирование и мониторинг обращений к API, чтобы своевременно выявлять попытки эксплуатации, и проверить логи на предмет уже состоявшихся атак.
- Применять принцип минимальных привилегий для учётных записей, имеющих доступ к веб-интерфейсу системы.
Уязвимость CVE-2026-115803 в Scada-LTS 2.8.0 позволяет удалённо обходить авторизацию через параметр ids в AmCharts Data API, а наличие публичного эксплойта делает её реальной угрозой. До выпуска вендором исправленного релиза рекомендуется изолировать систему от внешних сетей и усилить контроль доступа к API. Организациям, эксплуатирующим Scada-LTS, следует поставить задачу по обновлению на контроль и провести проверку журналов на признаки компрометации.
Источник: CVE Project (cvelistV5)