پل کنترل‌لاجیکس یک باگ فروپاشی دارد و اصلاحیه میان‌افزاری ندارد

راکول اتومیشن در یکم سپتامبر ۲۰۲۶ نه هشدار امنیتی با شماره‌های SD1792 تا SD1800 منتشر کرد؛ سه تا بیشتر از آنچه سیسا همان روز پوشش داد. آنکه ارزش خواندن کامل دارد SD1798 است.

این هشدار به CVE-2026-84235 در ۱۷۵۶-ENBT می‌پردازد، همان پل EtherNet/IP که کنترلرهای Logix 5000 را به دستگاه‌های اترنتی وصل می‌کند، و با CVSS نسخه ۳٫۱ برابر ۷٫۵ و نسخه ۴ برابر ۸٫۷ ارزیابی شده است. یک بسته CIP دستکاری‌شده ماژول را از کار می‌اندازد و بازیابی آن به راه‌اندازی مجدد نیاز دارد. شماره‌های کاتالوگ آسیب‌دیده ۱۷۵۶-ENBT، ۱۷۵۶-EWEB و L3xX فهرست شده‌اند.

دو میدانی که اهمیت دارند همان‌هایی هستند که بیشتر هشدارها روزمره پرشان می‌کنند. ذیل نسخه‌های آسیب‌دیده: همه نسخه‌ها. ذیل میان‌افزار اصلاح‌شده: موجود نیست. راکول هشدار را با «اصلاح‌شده: خیر» و «راهکار موقت: بله» علامت زده و راه‌حل اعلام‌شده ارتقای سخت‌افزار است — تعویض ماژول با ۱۷۵۶-EN2T یا ۱۷۵۶-EN4TR. این مورد را منبعی بیرونی در آزمون‌های معمول گزارش کرده و ویرایش ۱٫۰ در یکم سپتامبر صادر شده است.

این یعنی یک هشدار امنیتی به هزینه سرمایه‌ای تبدیل می‌شود. ماژول ۱۷۵۶-ENBT در شمار زیادی از رک‌های قدیمی ControlLogix نشسته است و تعویض ماژول ارسال میان‌افزار نیست: یعنی زمان‌بندی توقف، آدرس‌دهی دوباره، آزمون دوباره مسیرهای ارتباطی و در فرایندهای صحه‌گذاری‌شده، صلاحیت‌سنجی دوباره. برای سایت‌هایی که نمی‌توانند این کار را زود انجام دهند، راهکار موقت همان همیشگی است: مطمئن شوید هیچ منبع نامعتمدی نمی‌تواند بسته CIP جلوی آن ماژول بگذارد.

از هشت هشدار دیگر، دو تا ارزش اشاره دارند. SD1797 کنترلرهای موتور توزیع‌شده ArmorStart LT، بولتن‌های 290E و 291E و 294E با میان‌افزار نسخه ۲٫۰۰۱ و پایین‌تر را پوشش می‌دهد: CVE-2026-19471 یک نقص اسکریپت‌نویسی میان‌سایتی ذخیره‌شده است و CVE-2026-19472 منع سرویسی است که با درخواست HTTP PUT دستکاری‌شده به کارساز وب توکار فعال می‌شود، با امتیازهای ۷٫۵ و ۸٫۷ در CVSS نسخه ۴. هر دو در نسخه ۲٫۰۰۲ اصلاح شده‌اند. SD1793 به ControlFLASH نسخه ۱۵٫۰۷ و پیش‌تر می‌پردازد، جایی که نصب‌کننده به گروه Everyone اجازه نوشتن روی پوشه ControlFLASH\0001 می‌دهد — یعنی اجرای کد دلخواه با سطح دسترسی کاربر واردشده — که در ۱۵٫۰۸ اصلاح شده و برای سایت‌های ناتوان از ارتقا راهکار دستی دارد: ویژگی‌های پوشه را باز کنید، زبانه Security را ویرایش کنید و گروه Everyone را حذف کنید.

هشدارهای SD1793 و SD1797 و SD1798 هیچ همتایی در دسته یکم سپتامبر سیسا ندارند. فرایند مدیریت آسیب‌پذیری‌ای که تنها خوراک دولتی را مصرف می‌کند هر سه را از دست داده است، از جمله همانی که اصلاحیه ندارد. خوراک PSIRT سازندگان مکمل خوش‌آیند هشدارهای ICS نیست؛ بر پایه این شواهد، منبع کامل‌تر است.