Patch Tuesday ICS : 17 avis Siemens, correctif ArmorBlock
Siemens, Schneider Electric et Rockwell Automation ont publié leur dernière série d'avis de sécurité consacrés aux systèmes de contrôle industriel (ICS). Siemens arrive en tête avec 17 nouveaux avis. L'unique avis de Rockwell porte sur une faille critique qui peut permettre de prendre le contrôle du compte administrateur de ses équipements 1732E ArmorBlock.
Ces publications tombent le même jour que le Patch Tuesday d'octobre 2026 de Microsoft. Plusieurs industriels profitent de ce rendez-vous mensuel pour diffuser leurs propres correctifs.
Siemens : des centaines de failles dans les CPU Simatic
Des correctifs sont disponibles pour une partie des vulnérabilités décrites dans les avis de Siemens. Pour les autres, l'entreprise a communiqué des mesures d'atténuation que ses clients peuvent appliquer en attendant des correctifs définitifs.
Les failles de gravité critique touchent certains CPU Simatic S7-1500, les équipements Industrial Edge et le Ruggedcom Crossbow Station Access Controller (SAC). L'avis consacré aux CPU Simatic est le plus volumineux. Il recense plus de 400 vulnérabilités dans le sous-système GNU/Linux des processeurs concernés.
Des failles de gravité élevée ont été corrigées dans une longue liste de produits :
- Ruggedcom Crossbow et Ruggedcom APE1808
- Simatic IPC et Simatic WinCC
- PSS(R)SINCAL
- la bibliothèque cliente .NET de l'API Simatic S7 Webserver
- Industrial Edge App Publisher
- Apogee, Desigo et Talon
Sentron 3NA COM Fuse et Capital Embedded AR Classic ont reçu des correctifs pour des problèmes de gravité moyenne. Siemens a également signalé à ses clients une ambiguïté dans la documentation qui concerne les automates programmables Simatic S7 et les produits associés.
Schneider Electric et Rockwell Automation
Schneider Electric a publié deux avis, qui décrivent chacun une vulnérabilité de gravité élevée.
La première touche les Pro-face STW6000 et Harmony STW6. Un attaquant pourrait prendre le contrôle d'un appareil en incitant l'utilisateur visé à consulter une page web malveillante. La seconde concerne les RTU (unités terminales distantes) Sage. Un utilisateur disposant de privilèges pourrait l'exploiter pour installer un firmware malveillant.
L'avis de Rockwell Automation porte sur deux vulnérabilités du 1732E ArmorBlock. La plus critique permet à un attaquant de modifier le mot de passe du serveur web de l'appareil sans s'authentifier au préalable, ce qui peut aboutir à la prise de contrôle du compte administrateur. La seconde faille peut servir à provoquer un déni de service (DoS).
La CISA, le CERT@VDE et d'autres fournisseurs
L'agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a publié mardi deux nouveaux avis ICS. Le premier décrit des vulnérabilités dans les caméras Swann SWIFI-SE2KIC qui exposent des informations vidéo. Le second porte sur un problème d'élévation de privilèges dans Ignition, un produit d'Inductive Automation.
Le CERT@VDE, un CERT allemand spécialisé dans l'automatisation industrielle, a publié un avis. Celui-ci décrit une vulnérabilité de divulgation d'informations dans la plateforme Customer&Partner de Bender.
D'autres fournisseurs ont publié des avis entre le Patch Tuesday du mois dernier et celui-ci :
- Moxa : deux vulnérabilités graves dans des passerelles de protocoles
- Honeywell : Pro-Watch
- Hitachi Energy : Asset Suite, RTU500 et MicroSCADA
- Johnson Controls : ADVMS, Illustra Standard et EasyIO
- ABB : Automation Builder, Mint Workbench, AC500, Protection and Control IED Manager, Freelance et dynovaPRO
La faille de dynovaPRO pourrait permettre de prendre le contrôle de comptes grâce à un contournement du processus de réinitialisation des identifiants. ABB indique ne pas avoir connaissance d'une exploitation dans la nature, mais l'entreprise a bien relevé une activité suspecte dans ses propres journaux.
"L'analyse des journaux internes a mis en évidence 26 changements de mot de passe concernant 9 clients, ce qui pourrait indiquer une activité de test ou de reconnaissance", a déclaré l'entreprise.
Les organisations qui exploitent des équipements industriels ont intérêt à suivre de près la CISA et le CERT@VDE, qui publient régulièrement des avis ICS.
Notre analyse
Deux failles de cette série méritent qu'on s'y attarde : le problème de mot de passe de l'ArmorBlock de Rockwell et le contournement de la réinitialisation dans dynovaPRO d'ABB. Il s'agit dans les deux cas de faiblesses d'authentification susceptibles d'offrir un compte administrateur à un attaquant. Les constats d'ABB dans ses journaux laissent penser que quelqu'un a peut-être déjà sondé ce contournement, même si aucune attaque n'a été confirmée.
Les plus de 400 failles du sous-système GNU/Linux des Simatic révèlent un autre problème. Le matériel industriel embarque de plus en plus souvent des systèmes d'exploitation généralistes, et il hérite de tout leur stock de vulnérabilités. Les exploitants de sites industriels mettent généralement du temps à appliquer les correctifs, et certains correctifs de Siemens se font encore attendre : les mesures d'atténuation publiées auront donc leur importance d'ici là.
La pression s'accentue aussi sur la politique de sécurité OT. La CISA a récemment été appelée à publier une directive contraignante sur la sécurité OT, et les équipements anciens limitent toujours la visibilité dans de nombreux réseaux industriels. Les lecteurs ont tout intérêt à guetter d'éventuels signalements d'exploitation des failles dynovaPRO et ArmorBlock, ainsi que la date à laquelle Siemens livrera ses derniers correctifs.