یک رانتایم لایسنس پنج نقص را به نرم‌افزار کارگاهی ترامف می‌کشاند

ترامف از راه سرت‌ات‌وی‌دی‌ای گزارش کرده که بیشتر پشته نرم‌افزار کارگاهی‌اش به دلیل نگارش‌های آسیب‌پذیر مولفه‌ای که خودش نمی‌نویسد در معرض خطر است. هشدار VDE-2026-091 که ۱۵ سپتامبر منتشر شد، Oseon و TruTops Boost و TruTops Weld و TruTops Cell و TruTops Mark 3D و TecZone Laser و TecZone Cut Laser و TecZone Bend و TRUMPF License Expert و Programming Tube را نام می‌برد.

آن مولفه Wibu CodeMeter Runtime است، سرویس دانگل و مدیریت لایسنس که زیر سهم بزرگی از نرم‌افزار صنعتی آلمان قرار دارد. پنج CVE فهرست شده است. CVE-2026-81573، کنترل دسترسی نادرست با امتیاز ۸.۶، به مهاجم از راه دور اجازه می‌دهد فرمان‌های محدود را اجرا کند و احتمالا رابط CodeMeter WebAdmin را در اختیار بگیرد. CVE-2026-81574 نقص رشته قالب با امتیاز ۸.۲ است و افشای اطلاعات و انکار سرویس می‌دهد. CVE-2026-81572 دنبال کردن پیوند با امتیاز ۷.۸ است، ارتقای دسترسی محلی از راه حذف دلخواه فایل. CVE-2026-81576، احراز هویت ضعیف نشست با امتیاز ۷.۷، اجازه می‌دهد شناسه‌های نشست را با جست‌وجوی فراگیر یافت و به داده لایسنس دیگر کاربران رسید. CVE-2026-81575 نبود بررسی بافر با امتیاز ۷.۵ است و سرویس را از راه دور از کار می‌اندازد.

راه اصلاح، به‌روزرسانی CodeMeter Runtime است — نگارش 9.10 روی ویندوز ۱۱ یا 8.41a روی ویندوز ۱۰ — که از ویبو گرفته می‌شود نه از ترامف.

همین تفکیک، اصل ماجراست. CodeMeter به صورت سرویس روی رایانه‌های برنامه‌نویسی‌ای اجرا می‌شود که کد ان‌سی سلول‌های برش لیزری و خم‌کاری را تولید می‌کنند، و آن رایانه‌ها معمولا به جای فناوری اطلاعات زیر نظر تولیدند. سازنده ماشین می‌تواند هشدار منتشر کند اما نمی‌تواند اصلاحیه را بفرستد، و مشتری باید اعتماد کند که به‌روزرسانی یک رانتایم لایسنس، نرم‌افزاری را که لایسنس می‌دهد از کار نمی‌اندازد — و همین تردید است که این مولفه‌ها را سال‌ها قدیمی نگه می‌دارد.