Cinq failles de Hitachi Energy dans FCP exposent les systèmes de contrôle du réseau à des attaques visant les données, les fichiers et les sessions

Hitachi Energy a divulgué cinq vulnérabilités dans sa FACTS Control Platform susceptibles de compromettre les données, les fichiers système, les sessions authentifiées et la disponibilité opérationnelle. Les failles les plus graves affichent un score CVSS v3.1 de 9,9 sur 10.

L’exposition dépend d’une condition précise : les versions concernées de FACTS Control Platform ne sont vulnérables que lorsque le composant GWS est installé. Les déploiements sans GWS ne sont pas concernés. Les systèmes installés à partir de 2020 sont considérés comme probablement exposés s’ils intègrent ce composant.

Cette technologie prend en charge les Flexible AC Transmission Systems et les applications associées aux réseaux électriques dans le monde entier. Aucun correctif n’ayant été identifié à ce jour, les opérateurs doivent actuellement s’appuyer sur l’isolation réseau, les restrictions d’accès, la supervision et les recommandations de remédiation propres au fournisseur.

GWS détermine quelles installations sont exposées

Le produit concerné est la Hitachi Energy FACTS Control Platform, ou FCP. Il est utilisé dans plusieurs applications qui gèrent ou prennent en charge les infrastructures de transport d’électricité :

• SVC Light (STATCOM)
• Fixed Series Capacitor
• Thyristor Controlled Series Capacitor
• Static Var Compensator
• Static Watt Compensator
• Hybrid Synchronous Condensers

L’ensemble des versions vulnérables comprend les versions FCP 3.4.0, 3.7.0, 3.8.0, 3.10.0, 3.12.0, 3.14.0, 3.15.0, 4.0.0, 4.0.1, 4.1.0 et 4.1.1. Toutefois, ces versions ne sont concernées que lorsque GWS est présent.

Cette distinction doit orienter les premières mesures. Les opérateurs doivent d’abord inventorier leurs installations FACTS Control, identifier la version FCP déployée et vérifier si chaque système contient GWS. Les déploiements datant de 2020 ou d’une année ultérieure doivent être examinés en priorité.

Les vulnérabilités franchissent plusieurs frontières de sécurité. Quatre des cinq vecteurs CVSS indiquent une portée modifiée, ce qui signifie que leur exploitation peut affecter des ressources dépassant l’autorité de sécurité initiale du composant vulnérable.

L’injection et la traversée de répertoires obtiennent la mention Critique

Les deux vulnérabilités les plus graves affichent un score CVSS v3.1 de 9,9 et le vecteur CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H. Toutes deux sont accessibles à distance, nécessitent des privilèges limités et peuvent avoir des conséquences élevées sur la confidentialité, l’intégrité et la disponibilité.

CVE-2024-4872 est une faille de neutralisation incorrecte dans la logique d’interrogation des données, classée CWE-943. Le mécanisme de validation des requêtes de la plateforme peut permettre à un attaquant authentifié d’injecter du code ciblant des données persistantes.

Des identifiants valides sont nécessaires : la faille ne constitue donc pas un point d’entrée non authentifié. Néanmoins, un attaquant disposant d’un compte à faibles privilèges pourrait potentiellement modifier des informations stockées ou perturber les données utilisées par l’application. Toutes les versions répertoriées, de 3.4.0 à 4.1.1, sont concernées.

CVE-2024-3980 est une vulnérabilité de traversée de répertoires classée CWE-22. Un utilisateur authentifié peut influencer les chemins ou les noms de fichiers transmis aux opérations du système de fichiers et potentiellement sortir des limites du répertoire prévu.

Une exploitation réussie peut exposer des fichiers système ou permettre de modifier des fichiers nécessaires à l’application. La vulnérabilité concerne l’ensemble des versions visées par CVE-2024-4872 et présente le même profil d’attaque, accessible via le réseau et de faible complexité.

Ces failles sont particulièrement importantes lorsque des identifiants ont déjà été volés, partagés de manière inappropriée ou obtenus par un autre vecteur d’intrusion. Elles peuvent transformer un accès authentifié en compromission plus étendue des données de l’application et de l’environnement de fichiers sous-jacent.

La relecture de sessions et l’exposition d’un service élargissent la surface d’attaque

Les autres vulnérabilités impliquent des prérequis différents et concernent des plages de versions plus restreintes.

CVE-2024-3982, qui affiche une gravité Élevée de 8,2, permet de contourner l’authentification par capture et relecture. Elle concerne les versions 3.10.0, 3.12.0, 3.14.0, 3.15.0, 4.0.0, 4.0.1, 4.1.0 et 4.1.1.

Un attaquant disposant d’un accès local peut activer la journalisation des sessions du produit et tenter de détourner une session existante. Cette attaque nécessite des privilèges d’administrateur, car la journalisation des sessions est désactivée par défaut et seuls les administrateurs peuvent l’activer.

Ces conditions limitent le scénario d’attaque, mais n’en suppriment pas les conséquences. Un administrateur malveillant ou un attaquant ayant déjà obtenu un contrôle administratif local pourrait capturer puis rejouer des éléments de session afin de contourner l’authentification. Son vecteur est CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H.

CVE-2024-7940 expose, sans authentification, une fonction destinée à l’accès local sur toutes les interfaces réseau. La faille concerne les versions 3.14.0, 3.15.0, 4.0.0, 4.0.1, 4.1.0 et 4.1.1.

La vulnérabilité affiche une gravité Élevée de 8,3, avec le vecteur CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H. Elle ne nécessite aucun privilège, même si son exploitation est complexe et dépend d’une interaction de l’utilisateur. Le principal enjeu défensif tient au fait qu’un service auparavant accessible uniquement en local fait désormais partie de la surface d’attaque réseau accessible.

Les opérateurs doivent donc examiner les interfaces sur lesquelles les services concernés sont à l’écoute, et pas seulement vérifier si les systèmes sont directement exposés à Internet.

Une redirection ouverte peut faciliter l’hameçonnage visant les identifiants

CVE-2024-7941 est une vulnérabilité de redirection ouverte qui concerne uniquement les versions 3.15.0, 4.1.0 et 4.1.1. Elle affiche une gravité Moyenne de 4,3, avec le vecteur CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N.

Un paramètre HTTP accepte une URL et peut rediriger la requête de l’utilisateur vers une destination fournie par un attaquant. Un lien manipulé pourrait ainsi rediriger le personnel depuis une adresse FCP apparemment légitime vers un site malveillant.

La faille ne permet pas directement la compromission étendue des systèmes associée aux vulnérabilités Critiques. Son utilisation pratique relève de l’ingénierie sociale : un attaquant pourrait imiter une page d’authentification et tenter de recueillir les identifiants d’opérateurs ou d’administrateurs.

Ce scénario est important, car des identifiants valides sont nécessaires pour exploiter CVE-2024-4872 et CVE-2024-3980. Aucun enchaînement direct entre les vulnérabilités n’a toutefois été documenté.

Aucune version FCP corrigée n’a été précisée

Au 18 septembre 2026, aucune version de remédiation ni version corrective du fournisseur n’a été identifiée pour les branches FCP concernées. Les organisations doivent contacter leur fournisseur du produit ou le service de Hitachi Energy afin d’obtenir des instructions adaptées à leur installation.

En attendant la mise à disposition d’une remédiation approuvée, les opérateurs doivent :

1. Supprimer l’exposition directe à Internet. Les appareils FACTS Control et les hôtes qui les prennent en charge ne doivent pas être accessibles publiquement.
2. Segmenter les environnements de contrôle. Placez les systèmes opérationnels derrière des pare-feu et séparez-les des réseaux d’entreprise et des autres réseaux moins fiables.
3. Réduire les services accessibles. N’autorisez que les protocoles, ports, hôtes et chemins d’administration nécessaires.
4. Sécuriser les accès à distance. Utilisez une infrastructure VPN maintenue lorsque la connectivité à distance est nécessaire pour l’exploitation, tout en sécurisant les points de terminaison connectés.
5. Examiner les comptes privilégiés. Limitez les accès administratifs et recherchez les comptes capables d’activer la journalisation des sessions.
6. Protéger les accès physiques. CVE-2024-3982 dépend d’un accès local, ce qui rend directement pertinents les contrôles appliqués aux postes de travail et aux locaux.
7. Réserver les postes de contrôle aux tâches dédiées. Ils ne doivent pas servir à consulter les e-mails, naviguer sur le Web ou utiliser une messagerie instantanée.
8. Analyser les appareils et supports amovibles. Les ordinateurs portables et les supports de stockage amovibles doivent être contrôlés avant toute connexion aux systèmes de contrôle.

La supervision doit porter en priorité sur les événements d’authentification inattendus, les modifications de la journalisation des sessions, les lectures ou modifications inhabituelles de fichiers système, les changements inexpliqués de données persistantes et les services à l’écoute sur des interfaces réseau non prévues. Les opérateurs doivent également examiner les liens FCP qui redirigent les utilisateurs vers des domaines inconnus.

L’exploitation active et le statut KEV restent non confirmés

Hitachi Energy a signalé les cinq problèmes à la CISA, qui a publié un avis consacré aux systèmes de contrôle industriels. L’entrée SSVC enregistrée est SSVCv2/E:N/A:N/2026-07-24T09:43:32Z/.

Les informations disponibles ne permettent pas d’établir que l’une des cinq vulnérabilités a été ajoutée au catalogue des vulnérabilités exploitées connues de la CISA. Par conséquent, aucune date d’ajout au catalogue KEV ni échéance fédérale de remédiation n’est connue. Aucune exploitation active n’a été confirmée.

Les opérateurs font donc face à des vecteurs d’attaque sérieux, mais dont l’exploitation réelle n’est pas vérifiée publiquement. Les priorités immédiates consistent à identifier les systèmes équipés de GWS, à isoler les services accessibles et à obtenir des recommandations de remédiation propres au produit.