Rockwell Automation : faille DoS dans les contrôleurs ControlLogix et CompactLogix

Une vulnérabilité exploitable à distance peut placer plusieurs contrôleurs industriels Rockwell Automation en état de défaut et interrompre leur fonctionnement normal. Identifiée sous le nom de CVE-2021-42260, elle affecte certaines versions des familles ControlLogix, GuardLogix et CompactLogix.

La CISA a publié l’alerte le 1er septembre 2026, en reprenant l’avis du fabricant. La vulnérabilité est considérée comme élevée et peut être déclenchée sans authentification ni interaction de l’utilisateur, au moyen de données corrompues spécialement conçues.

L’impact concerne principalement la disponibilité : une attaque réussie peut provoquer un Major Non-Recoverable Fault, ou MNRF. La récupération n’est pas immédiate et varie selon que le dispositif assure ou non des fonctions de sécurité.

Cinq familles de contrôleurs concernées

Rockwell Automation classe cinq familles de contrôleurs comme vulnérables. Les seuils de mise à jour sont identiques pour tous les modèles, mais doivent être interprétés en fonction de la branche de firmware installée.

Produit	Versions vulnérables
ControlLogix 5580	antérieures aux versions 34.015, 35.014, 36.013 et 37.011
GuardLogix 5580	antérieures aux versions 34.015, 35.014, 36.013 et 37.011
CompactLogix 5380	antérieures aux versions 34.015, 35.014, 36.013 et 37.011
Compact GuardLogix 5380	antérieures aux versions 34.015, 35.014, 36.013 et 37.011
CompactLogix 5480	antérieures aux versions 34.015, 35.014, 36.013 et 37.011

En pratique, les utilisateurs de la branche 34 doivent installer au minimum la version 34.015. Pour les branches suivantes, les premières versions au-delà du seuil vulnérable sont respectivement 35.014, 36.013 et 37.011.

Tous les produits énumérés sont classés known_affected : l’exposition ne repose donc pas uniquement sur la présence supposée de composants communs. Les administrateurs OT doivent vérifier le modèle, le rôle du contrôleur et la version de firmware effectivement exécutée.

Ces dispositifs sont utilisés dans le secteur de la production critique et déployés dans le monde entier. Rockwell Automation est basée aux États-Unis, mais l’impact potentiel ne se limite pas aux installations nord-américaines.

Une boucle infinie place le dispositif en état de défaut

CVE-2021-42260 est associée à la faiblesse CWE-835, intitulée « Loop with Unreachable Exit Condition ». En substance, le logiciel entre dans une boucle dont il ne parvient plus à sortir, car la condition nécessaire à sa terminaison ne peut jamais être atteinte.

Cette situation anormale est provoquée par l’envoi au contrôleur de données corrompues et volontairement préparées. Aucun détail supplémentaire n’a été publié concernant le format des données, le protocole concerné ou la séquence précise nécessaire pour déclencher le défaut.

Le résultat peut être un Major Non-Recoverable Fault, c’est-à-dire une erreur grave dont le contrôleur ne se remet pas automatiquement pour retrouver son fonctionnement normal. Dans un environnement industriel, cela peut entraîner l’indisponibilité de la fonction contrôlée et nécessiter l’intervention d’un technicien.

La procédure de récupération dépend du dispositif :

• pour les contrôleurs de sécurité, il est nécessaire d’effectuer à nouveau le téléchargement du programme ;
• pour les contrôleurs non dédiés à la sécurité, il faut réaliser une réinitialisation de niveau 2.

Cette distinction est importante pour planifier la réponse à incident. Sur les systèmes dédiés à la sécurité fonctionnelle, la remise en service doit respecter les procédures internes de validation et de redémarrage, sans traiter le défaut comme un simple redémarrage.

Attaque à distance, sans identifiants et de faible complexité

L’évaluation CVSS 3.1 attribue à la vulnérabilité un score de 7,5 sur 10, avec une sévérité HIGH :

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Ce vecteur décrit un scénario exploitable via le réseau, avec une faible complexité et sans privilèges préalables. Aucune action de la part d’un opérateur n’est requise.

L’impact se limite à la disponibilité. Les métriques relatives à la confidentialité et à l’intégrité sont nulles : l’avis ne fait état ni de vol d’informations, ni de modification des programmes industriels, ni d’altération des données de processus. Le risque documenté est le blocage du contrôleur.

Avec CVSS 4.0, le score atteint 8,7, toujours avec une sévérité élevée :

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

Cette évaluation confirme également l’absence d’authentification, d’interaction de l’utilisateur et de prérequis supplémentaires pour mener l’attaque. Cela ne signifie toutefois pas que tous les contrôleurs sont accessibles depuis l’extérieur : l’exposition réelle dépend de l’architecture réseau, des pare-feu et de la segmentation de l’installation.

Aucun exploit public connu et aucune échéance KEV

La vulnérabilité a été signalée à la CISA par Rockwell Automation. Au moment de la publication de l’alerte, aucun exploitation publique connue visant spécifiquement CVE-2021-42260 n’avait été signalée.

Aucun indicateur de compromission spécifique n’a par ailleurs été fourni, notamment aucune adresse IP, signature réseau ou séquence de journaux à rechercher. Les équipes de sécurité peuvent néanmoins surveiller les MNRF inattendus, le trafic inhabituel vers les contrôleurs et les tentatives de communication provenant de segments non autorisés.

L’alerte n’indique pas que la vulnérabilité a été ajoutée au catalogue Known Exploited Vulnerabilities de la CISA. Aucune échéance KEV de correction n’est donc indiquée. La publication par l’agence américaine ne doit pas être confondue avec une confirmation d’exploitation active.

La chronologie indique une publication initiale le 1er septembre 2026. La révision 1, datée du même jour, correspond à la republication de l’avis de Rockwell Automation.

La mise à jour et la segmentation constituent les principales défenses

La mesure prioritaire consiste à installer les versions correctives fournies par le fabricant, en portant chaque contrôleur au moins au seuil prévu pour sa branche de firmware. Avant toute intervention, il convient toutefois d’en évaluer l’impact sur le processus industriel, les fenêtres de maintenance et la sécurité fonctionnelle.

Les organisations devraient notamment :

1. recenser les modèles ControlLogix et CompactLogix présents dans les réseaux OT ;
2. vérifier la branche et la version du firmware de chaque dispositif ;
3. planifier la mise à jour vers les versions correctives ;
4. préparer des sauvegardes et des procédures de récupération du programme ;
5. vérifier le bon fonctionnement après l’installation.

Lorsque la mise à jour ne peut pas être appliquée immédiatement, la CISA recommande de réduire l’exposition. Les contrôleurs ne doivent pas être directement accessibles depuis Internet, et les réseaux OT doivent être séparés des réseaux d’entreprise au moyen de pare-feu et de mesures de segmentation.

Lorsque l’accès à distance est indispensable, il devrait passer par des VPN à jour et correctement sécurisés. Un VPN ne compense toutefois pas la compromission d’un terminal : il faut également contrôler les dispositifs autorisés à se connecter à l’environnement industriel.

Il est également recommandé de limiter les communications aux seuls systèmes et protocoles nécessaires, selon un modèle de défense en profondeur. La CISA renvoie aussi au document technique ICS-TIP-12-146-01B consacré à la détection et à l’atténuation des intrusions visant les systèmes de contrôle.

Les recommandations contre le phishing et l’ingénierie sociale restent des mesures complémentaires : éviter les liens et les pièces jointes non sollicités réduit le risque qu’un attaquant compromette un poste de travail depuis lequel il pourrait ensuite accéder au réseau OT. Toute activité suspecte doit être traitée conformément aux procédures internes et signalée à la CISA afin de permettre son rapprochement avec d’autres événements.