CVE-2026-8065

KrytyczneCVSS 9.1

Opublikowano: 29/09/2026(UTC)Zaktualizowano: 29/09/2026(UTC)Przetłumaczono: 29/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.58%

Percentyl 45 - wyżej niż 45% wszystkich znanych CVE

Streszczenie

Podatność polegająca na obejściu uwierzytelniania w punkcie końcowym aktualizacji firmware w wersjach Hitachi Energy RTU500 oznaczonych jako end-of-life pozwala nieuwierzytelnionemu atakującemu przesłać dowolny firmware za pomocą spreparowanego żądania POST. Skuteczne wykorzystanie może pozwolić na zmianę funkcjonalności urządzenia lub naruszenie jego integralności bądź dostępności.

Ocena ryzyka

Atakujący może wgrać własny firmware do urządzenia RTU500 bez logowania, przejmując kontrolę nad jego działaniem. Może to doprowadzić do trwałego uszkodzenia lub wyłączenia urządzenia w infrastrukturze przemysłowej.

Rekomendacja

Natychmiast odciąć dostęp sieciowy do punktu aktualizacji firmware na urządzeniach RTU500 i wdrożyć kontrolę dostępu na poziomie sieci. Zaplanować wymianę urządzeń end-of-life na wspierane modele.

Inne podatności w Hitachi Energy RTU500

CVE-2026-8066Krytyczne
Podatność typu directory traversal w funkcji przesyłania plików w wersjach Hitachi Energy RTU500 oznaczonych jako end-of-life pozwala nieuwierzytelnionemu atakującemu zapisywać lub nadpisywać dowolne pliki w systemie plików urządzenia. W zależności od modyfikowanych plików może to skutkować nieautoryzowaną zmianą danych urządzenia lub zakłóceniem jego pracy.

Oryginalny opis (angielski, źródło NVD)

An authentication bypass vulnerability in the firmware update endpoint of Hitachi Energy RTU500 end-of-life versions allows an unauthenticated attacker to upload arbitrary firmware through a crafted POST request. Successful exploitation could allow the attacker to modify device functionality or compromise the integrity or availability of the device.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS