CVE-2026-28205

OpenPLC V3 — pominięcie uwierzytelnienia przez niezabezpieczoną domyślną inicjalizację

CVSS 9.2v4.0pub. 2026-04-09upd. 2026-04-28

OpenPLC V3 zawiera podatność polegającą na inicjalizacji zasobu z niezabezpieczoną konfiguracją domyślną (CWE-1188), która umożliwia nieuwierzytelnionemu atakującemu uzyskanie dostępu do systemu poprzez ominięcie mechanizmu uwierzytelnienia za pośrednictwem API. Ze względu na krytyczny wynik CVSS 9.2 oraz fakt, że OpenPLC jest stosowany w przemysłowych systemach sterowania (ICS/OT), podatność stanowi poważne zagrożenie dla bezpieczeństwa infrastruktury.

▸ Pokaż oryginał (EN)

OpenPLC_V3 is vulnerable to an Initialization of a Resource with an Insecure Default vulnerability which could allow an attacker to gain access to the system by bypassing authentication via an API.

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowej inicjalizacji zasobu, który w stanie domyślnym nie wymaga podania poświadczeń uwierzytelniających. Atakujący sieciowy, bez konieczności posiadania konta ani interakcji ze strony użytkownika, może wysyłać żądania do API systemu OpenPLC V3 i uzyskać dostęp do funkcji wymagających autoryzacji. Błąd dotyczy warstwy firmware oraz oprogramowania OpenPLC V3, co oznacza, że podatne są zarówno urządzenia sprzętowe, jak i instalacje programowe.

Skutki

Atakujący może ominąć mechanizm uwierzytelnienia i uzyskać nieautoryzowany dostęp do systemu OpenPLC V3, co w środowisku przemysłowym może prowadzić do nieuprawnionego odczytu danych, modyfikacji logiki sterowania lub zakłócenia dostępności systemu sterowania.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami (CISA ICS Advisory ICSA-25-345-10). Dodatkowo zaleca się izolację systemów OpenPLC od sieci publicznych, ograniczenie dostępu do API wyłącznie do zaufanych hostów oraz weryfikację i zmianę domyślnych konfiguracji uwierzytelnienia.

Kogo dotyczy

Openplcproject OpenPLC V3 Firmware oraz Openplcproject OpenPLC V3 — wersje wskazane w referencjach producenta (doradztwo CISA ICSA-25-345-10)

Uwagi

Podatność została opisana w doradztwie CISA dotyczącym systemów przemysłowych (ICS Advisory ICSA-25-345-10), co wskazuje na jej istotność w kontekście infrastruktury OT/ICS.

CVSS Vector

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:H/VA:H/SC:L/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X