Siemens: 17 bezpečnostních sad najednou, u S7 web serveru oprava není

Ve středu 22. října vydala CISA dvacet průmyslových advisory, z toho 17 se týká produktů Siemens. Nejvážnější je dávka osmi chyb v web serveru SIMATIC S7, ke které výrobce zatím neposkytl opravu — obcházet ji musí provozovatel sám segmentací sítě a vypnutím web serveru tam, kde ho nikdo nepoužívá.

Co je v dávce

• S7 web server (icsa-26-295-14) — osm CVE od CVE-2026-63350 po CVE-2026-63357. Týká se SIMATIC Drive Controller CPU 1504D TF a 1507D TF, ET 200SP CPU 1510SP, 1512SP i 1514SP ve variantách PN a F-PN a dalších S7-1500. Chyby dovolí spustit kód v prohlížeči přihlášeného uživatele a v jeho oprávnění provádět operace v PLC. U postižených produktů je v advisory uvedeno „Currently no fix is available".
• WinCC (icsa-26-295-13) — CVE-2026-59241, eskalace oprávnění přes databázovou roli; útočník s přístupem do databáze může spustit příkazy na hostitelském systému. Vektor počítá se síťovým přístupem a platnými přihlašovacími údaji.
• S7-1500 CPU 1518(F)-4 PN/DP MFP (icsa-26-295-11) — chyby v doplňkovém linuxovém subsystému firmwaru V3.1.7. Vektor je lokální, opravy Siemens připravuje.

Srovnání

Co udělat do prvního updatu

1. Zjistit, kde web server běží. U CPU, které mají web server jen kvůli diagnostice, ho vypněte — u chyb bez opravy je to nejúčinnější krok.
2. Aktualizovat WinCC na V8.0 Update 11 nebo V8.1 Update 7. U V7.5 oprava není, tam zbývá jen izolace.
3. Nedávat web rozhraní PLC do kancelářské sítě. Přístup přes VPN s ověřením, ne přes port na firewallu.
4. Zapsat si CVE do evidence a při nejbližší odstávce zkontrolovat firmware.

Pro správce sítě: projděte, které CPU mají otevřený port 80/443, a zavřete je dřív, než začnete řešit update WinCC. Osm chyb bez opravy u web serveru je riziko, které se nedá zalepit konfigurací firewallu na okraji — musí se vypnout služba.