NetStaX EtherNet/IP : buffer overflow critique dans les kits Pyramid Solutions, mise à jour vers la version 5.6.1

Une vulnérabilité critique affectant la pile NetStaX EtherNet/IP de Pyramid Solutions peut entraîner une corruption de la mémoire et provoquer l’arrêt des appareils qui l’intègrent. Identifiée sous le nom CVE-2026-78012, elle est exploitable à distance, via le réseau, sans authentification ni interaction de l’utilisateur.

La CISA a publié l’avis de sécurité le 3 septembre 2026, dans le cadre de la republication initiale d’une communication de Pyramid Solutions. Toutes les versions antérieures à la v5.6.1 de huit kits EtherNet/IP sont concernées, y compris les variantes intégrant CIP Security.

Au moment de la publication de l’avis, aucun cas public d’exploitation ciblée n’était connu. La vulnérabilité ne doit toutefois pas être considérée comme secondaire : elle obtient un score CVSS v3.1 de 9,8 sur 10 et peut être déclenchée par l’envoi d’une requête Class 3 dont la taille dépasse celle du tampon géré par l’application.

Huit kits EtherNet/IP vulnérables avant la v5.6.1

CVE-2026-78012 concerne le Pyramid Solutions NetStaX EtherNet/IP Stack. La condition vulnérable est présente dans toutes les versions antérieures à la v5.6.1 des composants suivants :

• EtherNet/IP Adapter DLL Kit (EIPA) : versions antérieures à la v5.6.1 ;
• EtherNet/IP Adapter DLL Kit with CIP Security (EIPA-SECURE) : versions antérieures à la v5.6.1 ;
• EtherNet/IP Adapter Development Kit (EADK) : versions antérieures à la v5.6.1 ;
• EtherNet/IP Adapter Development Kit with CIP Security (EADK-SECURE) : versions antérieures à la v5.6.1 ;
• EtherNet/IP Scanner DLL Kit (EIPS) : versions antérieures à la v5.6.1 ;
• EtherNet/IP Scanner DLL Kit with CIP Security (EIPS-SECURE) : versions antérieures à la v5.6.1 ;
• EtherNet/IP Scanner Development Kit (ESDK) : versions antérieures à la v5.6.1 ;
• EtherNet/IP Scanner Development Kit with CIP Security (ESDK-SECURE) : versions antérieures à la v5.6.1.

La présence de la mention « Secure » dans le nom n’exclut pas le risque. Les variantes dotées de CIP Security restent vulnérables lorsqu’elles utilisent une version de la pile antérieure au seuil requis.

Aucune liste plus détaillée des builds concernés n’a été publiée. Pour vérifier l’exposition, il faut donc identifier le kit intégré au produit et s’assurer que la version effectivement déployée est au moins la v5.6.1.

Cette étape peut nécessiter l’intervention du fabricant de l’équipement. NetStaX peut en effet être intégré à des appareils industriels sans apparaître sous un nom explicite dans les interfaces d’administration ou l’inventaire logiciel.

Une requête Class 3 trop volumineuse déborde le tampon

Le défaut est classé CWE-121, stack-based buffer overflow. Il se situe dans le chemin de traitement des requêtes Class 3 explicit-message d’EtherNet/IP.

Un attaquant distant peut envoyer une requête suffisamment volumineuse pour dépasser le tampon de réception prévu par l’application. Le logiciel ne génère pas au préalable d’erreur ou d’alerte permettant de bloquer ou de signaler correctement cette situation.

L’écriture au-delà des limites du tampon peut altérer la mémoire de la pile. Les effets documentés comprennent :

• corruption de la mémoire ;
• crash ou arrêt de l’appareil ;
• ouverture d’un vecteur d’attaque à distance potentiel ;
• absence de réception, par l’appareil à l’origine de la requête, d’une erreur CIP signalant l’échec du traitement.

Ce dernier point peut compliquer la supervision. Le système qui transmet le message malveillant peut ne pas recevoir de réponse d’erreur cohérente avec le dysfonctionnement survenu sur l’appareil destinataire.

En revanche, l’exécution de code arbitraire n’est pas confirmée comme une conséquence certaine. Le buffer overflow et la corruption de la mémoire rendent le défaut grave, mais les informations disponibles ne démontrent pas qu’un attaquant puisse le transformer de manière fiable en exécution de code à distance.

Pourquoi la vulnérabilité est critique

La CISA attribue à CVE-2026-78012 un score CVSS v3.1 de 9,8, avec le vecteur suivant :

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Cette évaluation décrit une attaque réalisable via le réseau, de faible complexité, ne nécessitant aucun privilège préalable ni action de la part d’un opérateur. Les impacts potentiels sur la confidentialité, l’intégrité et la disponibilité sont tous considérés comme élevés.

Le score CVSS v4.0 est lui aussi critique : 9,3, avec le vecteur suivant :

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Sur le plan opérationnel, la disponibilité constitue le risque immédiat explicitement documenté. Un appareil industriel qui s’arrête après avoir reçu un message spécialement conçu à cet effet peut interrompre les communications, la supervision ou les fonctions intégrées au processus.

Les conséquences réelles dépendent toutefois du rôle du composant vulnérable, de l’architecture de l’installation et des protections réseau. Aucun modèle précis d’équipement final intégrant la pile n’a été communiqué, et aucun indicateur de compromission associé à une campagne n’est disponible.

Impact potentiel dans les environnements industriels

Les produits sont distribués dans le monde entier. Les secteurs critiques concernés sont les secteurs manufacturier, énergétique, de l’eau et des eaux usées, ainsi que chimique.

Dans ces environnements, un crash ne se résume pas à la perte temporaire d’un service informatique. Il peut rendre indisponible un équipement de communication industrielle, nécessiter un redémarrage ou contraindre les opérateurs à activer des procédures de restauration et de continuité.

L’exposition réelle dépend avant tout de l’accessibilité du service vulnérable. Un système accessible depuis des réseaux non fiables, des segments d’entreprise insuffisamment cloisonnés ou directement depuis Internet offre à un attaquant une surface d’attaque bien plus étendue.

Pyramid Solutions a signalé le problème à la CISA. Au moment de la publication de l’avis, l’agence n’avait reçu aucun signalement d’exploitation publique visant spécifiquement CVE-2026-78012.

La vulnérabilité ne figure pas, d’après les informations disponibles, dans le catalogue Known Exploited Vulnerabilities (KEV) de la CISA, et aucune échéance fédérale de correction n’est indiquée. Il n’existe donc pas, à ce stade, de confirmation opérationnelle d’une exploitation active telle que celle généralement fournie par l’inscription dans le KEV.

Mises à jour et vérifications à effectuer

La mesure corrective principale consiste à mettre chaque kit concerné à niveau vers la version v5.6.1 ou ultérieure. Aucune procédure de mise à jour universelle n’a été communiquée, car les modalités peuvent dépendre du produit qui intègre la pile.

Les responsables OT et ICS devraient commencer par l’inventaire des actifs, en recherchant à la fois le nom NetStaX et les références EIPA, EIPA-SECURE, EADK, EADK-SECURE, EIPS, EIPS-SECURE, ESDK et ESDK-SECURE. Lorsque la version n’est pas visible, il convient de demander confirmation au fournisseur de l’appareil ou de l’application.

Avant tout déploiement en production, il est recommandé d’évaluer les effets de la mise à jour sur le processus industriel, de la tester dans un environnement contrôlé et de préparer un plan de restauration. La nécessité de réaliser des tests opérationnels ne doit toutefois pas servir de prétexte à un report indéfini.

En l’absence de mise à jour immédiate, la CISA recommande de limiter l’accessibilité des systèmes concernés :

1. éviter toute exposition directe sur Internet ;
2. placer les appareils et les réseaux de contrôle derrière des pare-feu ;
3. séparer les réseaux industriels de l’infrastructure de l’entreprise ;
4. n’autoriser que les flux strictement nécessaires ;
5. utiliser des VPN à jour lorsqu’un accès distant est nécessaire ;
6. appliquer des mesures de défense en profondeur aux actifs ICS.

Une VPN ne corrige pas le buffer overflow et ne protège pas une installation si les terminaux autorisés sont déjà compromis. Elle sert à restreindre le chemin d’accès, et non à remplacer le correctif.

Éléments à rechercher lors de la supervision

Aucune adresse IP, signature de logiciel malveillant ou autre indicateur associé à l’exploitation n’a été publié. La supervision doit donc se concentrer sur les comportements compatibles avec le défaut.

Les événements à examiner comprennent notamment les requêtes Class 3 explicit-message inhabituellement volumineuses, les crashs ou redémarrages inexpliqués d’équipements EtherNet/IP, ainsi que les anomalies survenant immédiatement après la réception de trafic provenant de systèmes inhabituels.

Il est également utile de corréler l’absence de réponses CIP avec les arrêts ou l’instabilité du destinataire. Une réponse manquante ne suffit pas à prouver une attaque, mais elle peut contribuer à reconstituer la séquence ayant précédé la panne.

Toute activité suspecte doit être traitée conformément aux procédures internes de réponse aux incidents. La priorité reste toutefois claire : identifier les intégrations de NetStaX, limiter l’exposition réseau et effectuer la mise à jour vers au moins la v5.6.1.