Accès root sans mot de passe sur les dispositifs industriels Toptech : le bug corrigé par une mise à jour

Le 30 juillet 2026, le chercheur Donald Green du Southwest Research Institute a signalé à la CISA une faille affectant les contrôleurs embarqués RCU II+ et Multiload II+ de Toptech Systems. Identifiée sous le code CVE-2026-12562, la vulnérabilité permet à un attaquant sans identifiants d'obtenir le contrôle total du système Linux de l'appareil, simplement en accédant à son port réseau depuis un poste adjacent.

Un service de debug sans authentification

Les deux modèles exposent sur le réseau le service TCF (Target Communications Framework), destiné aux activités de développement et de diagnostic. Le problème, classé comme CWE-306 (Missing Authentication for Critical Function), réside dans l'absence totale d'authentification : toute personne pouvant se connecter au port dédié obtient immédiatement un shell avec privilèges root. Aucun identifiant, aucune interaction de la part de la victime, aucun mécanisme de défense.

Modèles et versions concernés

La faille concerne les dispositifs RCU II+ et Multiload II+ de Toptech Systems, une entreprise américaine active dans le secteur de l'énergie et distribuée dans le monde entier. Toutes les versions du firmware antérieures à la build du 24 novembre 2025 sont vulnérables. L'éditeur a confirmé le problème et mis à disposition des outils et des procédures pour le corriger.

Impact opérationnel et score CVSS

En exploitant CVE-2026-12562, un attaquant peut lire, écrire et modifier l'intégralité du système de fichiers, altérer les processus en cours d'exécution, manipuler les interfaces réseau et, de là, se déplacer latéralement vers d'autres ressources connectées. Les conséquences sur la disponibilité, l'intégrité et la confidentialité des processus industriels gérés sont maximales. Le score CVSS v3.1 est de 8,8 (HIGH), vecteur AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H ; l'évaluation CVSS v4.0 s'élève à 8,7.

Trois voies pour sécuriser les contrôleurs

Dans son avis officiel, Toptech indique trois options pour éliminer la vulnérabilité :

1. Isolation réseau – Déplacer les dispositifs sur des segments fermés ou séparés des hôtes non fiables.
2. Outil de suppression (VRT) – Fourni par l'éditeur via les liens publiés dans l'avis, il désactive le service vulnérable sans briser les scellés « Weights & Measures » et avec un impact minimal sur les opérations.
3. Mise à jour du firmware – La dernière version, téléchargeable depuis le portail de Toptech, corrige la faille à la racine. Cette méthode nécessite l'arrêt de la baie et la rupture du scellé W&M ; avant de procéder, il est obligatoire d'effectuer une sauvegarde de la configuration Multiload.

Pour toute clarification, l'éditeur met à disposition l'adresse [email protected]. La CISA rappelle l'importance de réduire l'exposition réseau des systèmes de contrôle industriels, d'utiliser des VPN à jour pour les accès distants et de signaler toute activité suspecte aux autorités compétentes.