EPICS Base: cztery luki w systemie sterowania. Dostępna wersja 7.0.11

CISA opublikowała 27 października ostrzeżenie o czterech lukach w EPICS Base. Najpoważniejsza, CVE-2026-114595, może prowadzić do uszkodzenia pamięci, zatrzymania usługi lub potencjalnie wykonania kodu. Poprawki zawiera wersja 7.0.11. Nie ma potwierdzenia wykorzystywania tych luk w atakach.

Co ujawniono

EPICS służy do budowy systemów sterowania i nadzoru. W takich środowiskach dostępność oprogramowania ma znaczenie dla pracy podłączonych urządzeń. Ostrzeżenie ICSA-26-300-01 dotyczy EPICS Base 7.0.10 i wcześniejszych wydań.

CVE-2026-114595 wynika z przepełnienia liczby całkowitej podczas obsługi żądań sieciowych. Błędnie obliczony rozmiar przydzielanej pamięci może doprowadzić do jej uszkodzenia. Luka otrzymała ocenę 9,8 w skali CVSS 3.1.

Pozostałe problemy dotyczą sprawdzania długości i elementów wiadomości. Mogą powodować zapis lub odczyt poza przydzielonym obszarem pamięci, zatrzymanie procesu, a w części przypadków ujawnienie informacji. Samo opublikowanie ostrzeżenia nie oznacza, że doszło do włamania do konkretnej instalacji.

Co zrobić teraz

Poniższe działania warto uzgodnić z osobami odpowiedzialnymi za utrzymanie urządzeń i ciągłość pracy:

• Ustalić, gdzie działa EPICS Base, jakie ma wersje i kto odpowiada za aktualizację.
• Zaplanować wdrożenie wydania 7.0.11, uwzględniając zależności systemu sterowania.
• Sprawdzić, czy usługi są osiągalne z internetu lub z sieci, które nie powinny mieć do nich dostępu.
• Ograniczyć komunikację zaporami i oddzielić sieć sterowania od sieci biurowej.
• Po wdrożeniu sprawdzić działanie procesów oraz zachować dokumentację zmiany.

Aktualizacja w środowisku sterowania wymaga sprawdzenia zgodności. Ograniczenie dostępu sieciowego może zmniejszyć ekspozycję podczas przygotowania wdrożenia, ale nie usuwa podatnego kodu.

Komentarz SecurHUB

Inwentaryzacja oprogramowania sterującego powinna obejmować również biblioteki i komponenty rozwijane przez społeczność. Audyt bezpieczeństwa infrastruktury pomaga ocenić dostęp sieciowy, podział odpowiedzialności i sposób wdrażania poprawek w takich środowiskach.

Źródła: CyberStack, GitHub Advisory Database, JVN