ماژول کنترل‌لاجیکس که وصله‌ای برایش نمی‌آید

سازمان CISA در سوم سپتامبر هشدار ICSA-26-246-05 را درباره ماژول ارتباطی ۱۷۵۶-ENBT راکول اتومیشن منتشر کرد. این آسیب‌پذیری با شناسه CVE-2025-10478 در رده CWE-754 — بررسی نادرست شرایط غیرعادی یا استثنایی — طبقه‌بندی شده و امتیاز ۷٫۵ در CVSS نسخه ۳٫۱ و ۸٫۷ در نسخه ۴٫۰ گرفته است. بردار حمله از شبکه در دسترس است، پیچیدگی کم دارد، به دسترسی و تعامل کاربر نیاز ندارد و تنها دسترس‌پذیری را متاثر می‌کند.

سازوکار ساده است و پیامدش نه. مهاجم بسته‌ای CIP دستکاری‌شده می‌فرستد، ماژول از کار می‌افتد و برای بازگشت باید راه‌اندازی مجدد شود. بازیابی خودکاری در کار نیست. روی یک رک کنترل‌لاجیکس این یعنی خاموش شدن یک ماژول ارتباطی تا وقتی کسی حضوری سراغش برود، که در فرایندی در حال کار، تعریف قطعی برنامه‌ریزی‌نشده است.

آنچه این را از هشداری معمولی جدا می‌کند سطر نسخه‌های آسیب‌پذیر است: همه نسخه‌ها. میان‌افزار اصلاح‌شده‌ای وجود ندارد و راهکار راکول مهاجرت به ماژول‌های ۱۷۵۶-EN2T یا ۱۷۵۶-EN4TR در کنار ایزوله‌سازی با دیوار آتش و حذف دسترسی اینترنتی است. این یک قلم از چرخه وصله را به قلمی از برنامه‌ریزی سرمایه‌ای بدل می‌کند. ماژول ۱۷۵۶-ENBT مدت‌هاست در خدمت است و در شمار زیادی از رک‌های قدیمی نشسته؛ تعویض یکی از آنها دانلود نیست، تغییر سخت‌افزار است، با پنجره توقف و انتقال پیکربندی و اعتبارسنجی دوباره‌ای که به همراه دارد.

و همین جداسازی شبکه را برای بیشتر سایت‌ها به پاسخ کوتاه‌مدت بدل می‌کند نه به توصیه‌ای جانبی. اگر دستگاهی را نمی‌توان اصلاح کرد و بی‌درنگ هم نمی‌توان تعویض کرد، کنترل تماما درباره این است که چه چیزی می‌تواند به آن برسد. این همان موردی است که تمرین ناحیه و مجرا برایش وجود دارد: دستگاهی با مسیر شناخته‌شده و بدون احراز هویت برای از کار انداختن سرویس، دقیقا همان دارایی‌ای است که باید مجموعه دسترسی‌اش برشمرده و به همان اتصال‌هایی محدود شود که فرایند واقعا لازم دارد.

هشدار، بخش‌های تولید حیاتی، غذا و کشاورزی، سامانه‌های حمل‌ونقل و آب و فاضلاب را متاثر می‌داند. راکول خودش این آسیب‌پذیری را به CISA گزارش کرده و تا زمان انتشار، بهره‌برداری عمومی‌ای گزارش نشده بود.

نکته‌ای برای هر کسی که در معرض بودن خود را دنبال می‌کند: این یکی از ده هشدار سامانه‌های کنترل صنعتی بود که CISA همان روز منتشر کرد. یک هشدار یک وظیفه است؛ ده هشدار در یک نوبت یادآوری این است که پرسش فهرست دارایی — کدام‌یک از این محصولات را واقعا داریم و کجا — همان بخشی است که بیشتر سازمان‌ها نمی‌توانند سریع پاسخش دهند.