Hitachi Energy TRO600: Δύο ευπάθειες υψηλής σοβαρότητας στους δρομολογητές, διόρθωση με την έκδοση 9.2.2.1

Η Hitachi Energy δημοσιοποίησε δύο ευπάθειες υψηλής σοβαρότητας στη σειρά TRO600, δρομολογητές για τα ασύρματα δίκτυα επικοινωνιών των ηλεκτρικών δικτύων και των βιομηχανικών μονάδων. Και για τις δύο η λύση είναι η ίδια: ενημέρωση του λογισμικού στην έκδοση 9.2.2.1. Το δελτίο της εταιρείας (PSIRT 8DBD000224) κυκλοφόρησε την Τρίτη 27 Οκτωβρίου 2026 και η αμερικανική Υπηρεσία Κυβερνοασφάλειας και Ασφάλειας Υποδομών (CISA) το αναδημοσίευσε την Πέμπτη 29 Οκτωβρίου ως ICSA-26-302-02.

Η CISA δεν έκανε δική της ανάλυση: όπως δηλώνει, το κείμενο είναι αυτούσια αναδημοσίευση του δελτίου της Hitachi Energy, μετατραμμένου από τη μορφή CSAF (Common Security Advisory Framework, πρότυπο μηχαναγνώσιμων δελτίων ασφαλείας). Δεν αναλαμβάνει ευθύνη για την ακρίβειά του και παραπέμπει στο PSIRT, την ομάδα της εταιρείας για τα περιστατικά ασφάλειας των προϊόντων της. Ίδια πρακτική ακολούθησε την Τρίτη 27 Οκτωβρίου με το δελτίο της Mitsubishi Electric για τα GENESIS64 και ICONICS Suite.

Σοβαρότερη, με βάση τη βαθμολογία της CVSS 4.0, είναι η CVE-2026-106087, μια ευπάθεια ανάγνωσης τυχαίων αρχείων (CWE-306, έλλειψη ταυτοποίησης σε κρίσιμη λειτουργία). Ένας επιτιθέμενος που δεν έχει ταυτοποιηθεί μπορεί να διαβάσει ή να κατεβάσει αρχεία της συσκευής, μεταξύ αυτών ευαίσθητα αρχεία ρυθμίσεων και δεδομένα κωδικών πρόσβασης, με αποτέλεσμα την αποκάλυψη εμπιστευτικών πληροφοριών. Η βαθμολογία CVSS (Common Vulnerability Scoring System, κλίμακα σοβαρότητας από 0 έως 10) είναι 7,5 στην έκδοση 3.1 και 8,7 στην 4.0, και στις δύο «υψηλή». Η επίθεση γίνεται μέσω δικτύου, με χαμηλή πολυπλοκότητα και χωρίς δικαιώματα ή ενέργεια του χρήστη. Επηρεάζονται οι εκδόσεις 9.1.1.0 και παλαιότερες, καθώς και οι 9.2.1.6 και παλαιότερες. Για τη σειρά 9.1 η διόρθωση ήρθε με την 9.1.2.0, ενώ η Hitachi Energy συνιστά ενημέρωση στη νεότερη, την 9.2.2.1.

Η δεύτερη, η CVE-2026-10756 (CWE-923, ακατάλληλος περιορισμός των διαύλων επικοινωνίας προς τα προβλεπόμενα σημεία), προϋποθέτει επιτιθέμενο που έχει ήδη ταυτοποιηθεί στη συσκευή. Αυτός μπορεί να παρακάμψει τους περιορισμούς πρόσβασης του δικτύου και, με προώθηση θυρών (port forwarding), να φτάσει σε υπηρεσίες που προορίζονται για χρήση μόνο από την ίδια τη συσκευή (localhost). Έτσι αποκτά πρόσβαση σε ευαίσθητες λειτουργίες και εμπιστευτικές πληροφορίες, ενώ επηρεάζεται και η διαθεσιμότητα. Βαθμολογείται με 7,5 στην CVSS 3.1 και 7,7 στην CVSS 4.0, με υψηλή πολυπλοκότητα επίθεσης και χαμηλά δικαιώματα. Αφορά τις εκδόσεις έως και 9.2.1.6 και διορθώνεται με την 9.2.2.1.

Στην περίληψη του δελτίου η Hitachi Energy σημειώνει ότι οι ευπάθειες μπορούν να αξιοποιηθούν για απομακρυσμένη εκτέλεση κώδικα (RCE), ώστε να στηθούν περαιτέρω επιθέσεις, καθώς και για αποκάλυψη ευαίσθητων πληροφοριών. Τις ευπάθειες ανέφερε στην CISA η εσωτερική ομάδα της εταιρείας. Ως τομέας κρίσιμων υποδομών καταγράφεται η ενέργεια και τα προϊόντα χρησιμοποιούνται παγκοσμίως.

Η σειρά TRO600 συνδυάζει, όπως την περιγράφει η εταιρεία, κυψελωτή σύνδεση (με 5G από το 2022) και ευρυζωνικό δίκτυο πλέγματος (mesh) 802.11. Το μοντέλο TRO620, για παράδειγμα, τοποθετείται σε ράγα DIN και σχεδιάστηκε για δίκτυα πεδίου και αυτοματισμό διανομής ηλεκτρικής ενέργειας. Συνδέει έξυπνες ηλεκτρικές συσκευές, ελεγκτές βιομηχανικών διεργασιών και συσκευές SCADA, δηλαδή συστημάτων εποπτικού ελέγχου και συλλογής δεδομένων.

Πέρα από την ενημέρωση, το δελτίο επαναλαμβάνει τις γενικές πρακτικές για τα βιομηχανικά συστήματα ελέγχου: φυσική προστασία από μη εξουσιοδοτημένο προσωπικό, καμία άμεση σύνδεση με το διαδίκτυο και διαχωρισμός από άλλα δίκτυα με τείχος προστασίας που αφήνει ανοιχτές όσο το δυνατόν λιγότερες θύρες. Τα συστήματα ελέγχου δεν πρέπει να χρησιμοποιούνται για περιήγηση, ανταλλαγή μηνυμάτων ή e-mail, ενώ φορητοί υπολογιστές και μέσα αποθήκευσης ελέγχονται για ιούς πριν συνδεθούν.

Η CISA προσθέτει τις δικές της συστάσεις: ελάχιστη έκθεση των συσκευών στο δίκτυο, τοποθέτηση πίσω από τείχη προστασίας και, όπου χρειάζεται απομακρυσμένη πρόσβαση, ασφαλέστερες μέθοδοι όπως τα εικονικά ιδιωτικά δίκτυα (VPN), τα οποία και αυτά πρέπει να είναι ενημερωμένα. Σε περίπτωση ύποπτης δραστηριότητας, οι οργανισμοί την αναφέρουν στην υπηρεσία. Για τις ευπάθειες που ήδη εκμεταλλεύονται επιτιθέμενοι, η CISA τηρεί ξεχωριστό κατάλογο: στις 29 Οκτωβρίου πρόσθεσε στον κατάλογο KEV δύο τέτοιες ευπάθειες των GitLab και Cisco.