Siemens SSA-328642: Copy Fail v SIMATIC, oprava pro CN 4100 i HMI

Siemens ProductCERT zveřejnil 8. září 2026 advisory SSA-328642 k vulnerabilitě „Copy Fail“ s označením CVE-2026-31431 a CVSS v3.1 7,8. Dokument má verzi V1.0 a v ten den byl i naposledy aktualizován. Pro CN 4100 a panely HMI existuje oprava, u SIMATIC AX Runtime zůstávají jen mitigace; firma zároveň uvedla, že na dalších opravných verzích pracuje.

Advisory rozděluje produkty na dvě skupiny. U jedněch najdete konkrétní minimální verzi, u druhých jen doporučené protiopatření — a právě proto je potřeba číst obě části odděleně.

Klíčové parametry

• Advisory SSA-328642, verze V1.0, publikace i poslední aktualizace 8. 9. 2026; CVE-2026-31431, CVSS v3.1 7,8
• SIMATIC CN 4100: všechny verze < V6.0 → update na V6.0
• SIMATIC HMI Unified Comfort Panels a MTP1x00 Comfort Pro: všechny verze < V21 Update 2 SR1 → update na V21 Update 2 SR1
• SIMATIC S7-1500 TM MFP: technologický modul na SIMATIC Industrial OS
• SIMATIC AX Runtime (Debian, VMware, kontejnerové varianty): v době vydání bez opravy, platí pouze mitigace
• Pro neopravené produkty doporučuje Siemens specifická protiopatření

Srovnání

Obě skupiny se řeší jinak: u první rozhoduje verze image, u druhé dokumentace protiopatření.

Pro PLC programátora: Stroje s panely Unified Comfort nebo MTP a s technologickými moduly S7-1500 TM MFP dořešte ještě před dodávkou — zákazník bude chtít doložit, že HMI image je na úrovni V21 Update 2 SR1 nebo novější. U servisního zásahu na starším stroji si nejdřív ověřte, jakou úroveň image panel skutečně běží, ne jen to, co je napsané v projektu; u nových zakázek napište minimální verzi rovnou do požadavků na dodávku panelu. U AX Runtime si připravte plán B: oprava v době vydání neexistovala, takže zapište, které protiopatření jste nasadili a kdy, aby se to za půl roku dalo dohledat.