Cinque falle di Hitachi Energy FCP espongono i sistemi di controllo della rete ad attacchi contro dati, file e sessioni

Hitachi Energy ha divulgato cinque vulnerabilità nella propria FACTS Control Platform che potrebbero compromettere dati, file di sistema, sessioni autenticate e disponibilità operativa. Le falle più gravi hanno ottenuto un punteggio CVSS v3.1 di 9,9 su 10.

L’esposizione è soggetta a una condizione: le versioni interessate della FACTS Control Platform sono vulnerabili solo quando è installato il componente GWS. Le installazioni prive di GWS non sono interessate. I sistemi installati dal 2020 in poi sono considerati probabilmente esposti se includono tale componente.

La tecnologia supporta i Flexible AC Transmission Systems e le applicazioni correlate per le reti elettriche in tutto il mondo. Poiché non sono ancora state identificate versioni correttive, gli operatori devono attualmente fare affidamento sull’isolamento della rete, sulle restrizioni degli accessi, sul monitoraggio e sulle indicazioni di remediation specifiche del fornitore.

È GWS a determinare quali installazioni sono esposte

Il prodotto interessato è la Hitachi Energy FACTS Control Platform, o FCP. Viene utilizzato in diverse applicazioni che gestiscono o supportano le infrastrutture di trasmissione elettrica:

• SVC Light (STATCOM)
• Fixed Series Capacitor
• Thyristor Controlled Series Capacitor
• Static Var Compensator
• Static Watt Compensator
• Hybrid Synchronous Condensers

L’insieme delle versioni vulnerabili comprende FCP 3.4.0, 3.7.0, 3.8.0, 3.10.0, 3.12.0, 3.14.0, 3.15.0, 4.0.0, 4.0.1, 4.1.0 e 4.1.1. Tuttavia, queste versioni sono interessate solo quando è presente GWS.

Questa distinzione dovrebbe guidare la risposta iniziale. Gli operatori devono innanzitutto censire le installazioni FACTS Control, identificare la versione FCP distribuita e verificare se ogni sistema contiene GWS. Le installazioni risalenti al 2020 o agli anni successivi meritano la priorità durante questa verifica.

Le vulnerabilità attraversano diversi confini di sicurezza. Quattro dei cinque vettori CVSS indicano un ambito modificato, il che significa che lo sfruttamento può colpire risorse al di là dell’autorità di sicurezza originaria del componente vulnerabile.

Injection e path traversal ottengono la classificazione Critical

Le due vulnerabilità più gravi condividono un punteggio CVSS v3.1 di 9,9 e il vettore CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H. Entrambe sono raggiungibili da remoto, richiedono privilegi limitati e possono produrre impatti elevati su riservatezza, integrità e disponibilità.

CVE-2024-4872 è una falla dovuta all’impropria neutralizzazione nella logica delle query sui dati, classificata come CWE-943. Il meccanismo di convalida delle query della piattaforma può consentire a un attaccante autenticato di iniettare codice rivolto ai dati persistenti.

Sono necessarie credenziali valide, quindi la falla non offre un punto d’ingresso non autenticato. Tuttavia, un attaccante in possesso di un account con privilegi ridotti potrebbe potenzialmente alterare le informazioni memorizzate o interferire in altro modo con i dati utilizzati dall’applicazione. Sono interessate tutte le versioni elencate, dalla 3.4.0 alla 4.1.1.

CVE-2024-3980 è una vulnerabilità di path traversal classificata come CWE-22. Un utente autenticato può influenzare i percorsi o i nomi dei file passati alle operazioni sul filesystem, riuscendo potenzialmente a uscire dai confini della directory prevista.

Lo sfruttamento riuscito può esporre file di sistema o consentire la modifica dei file necessari all’applicazione. La vulnerabilità interessa lo stesso intero insieme di versioni di CVE-2024-4872 e presenta lo stesso profilo di attacco, accessibile dalla rete e di bassa complessità.

Queste falle sono particolarmente rilevanti quando le credenziali sono già state sottratte, condivise impropriamente o ottenute attraverso un altro vettore d’intrusione. Possono trasformare l’accesso autenticato in una compromissione più ampia dei dati dell’applicazione e dell’ambiente di file sottostante.

Il replay delle sessioni e un servizio esposto ampliano la superficie d’attacco

Le vulnerabilità restanti prevedono prerequisiti diversi e interessano intervalli di versioni più ristretti.

CVE-2024-3982, classificata 8.2 High, consente di aggirare l’autenticazione tramite capture-replay. Sono interessate le versioni 3.10.0, 3.12.0, 3.14.0, 3.15.0, 4.0.0, 4.0.1, 4.1.0 e 4.1.1.

Un attaccante con accesso locale può attivare la registrazione delle sessioni del prodotto e tentare di dirottare una sessione esistente. Questo percorso richiede privilegi di amministratore, perché la registrazione delle sessioni è disabilitata per impostazione predefinita e solo gli amministratori possono abilitarla.

Queste condizioni restringono lo scenario d’attacco, ma non ne eliminano l’impatto. Un amministratore malevolo o un attaccante che abbia già ottenuto il controllo amministrativo locale potrebbe catturare e riprodurre il materiale della sessione per aggirare l’autenticazione. Il vettore è CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H.

CVE-2024-7940 espone senza autenticazione, su ogni interfaccia di rete, una funzione destinata all’accesso locale. La falla interessa le versioni 3.14.0, 3.15.0, 4.0.0, 4.0.1, 4.1.0 e 4.1.1.

La vulnerabilità è classificata 8.3 High, con il vettore CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H. Non richiede privilegi, anche se lo sfruttamento presenta un’elevata complessità e dipende dall’interazione dell’utente. Il problema principale dal punto di vista difensivo è che un servizio destinato al solo accesso locale è diventato parte della superficie d’attacco raggiungibile dalla rete.

Gli operatori devono quindi esaminare le interfacce su cui sono in ascolto i servizi interessati, invece di limitarsi a verificare se i sistemi siano esposti direttamente a Internet.

Un open redirect può favorire il credential phishing

CVE-2024-7941 è una vulnerabilità di open redirect che interessa solo le versioni 3.15.0, 4.1.0 e 4.1.1. Ha una classificazione 4.3 Medium e il vettore CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N.

Un parametro HTTP accetta un URL e può reindirizzare la richiesta dell’utente verso una destinazione fornita dall’attaccante. Un link manipolato potrebbe quindi indirizzare il personale da un indirizzo FCP apparentemente legittimo a un sito web malevolo.

La falla non crea direttamente la compromissione estesa del sistema associata alle vulnerabilità Critical. Il suo impiego pratico è nell’ingegneria sociale: un attaccante potrebbe imitare una pagina di autenticazione e tentare di raccogliere le credenziali di operatori o amministratori.

Lo scenario è rilevante perché le credenziali valide sono un prerequisito per sfruttare CVE-2024-4872 e CVE-2024-3980. Tuttavia, non è stata documentata alcuna concatenazione diretta tra le vulnerabilità.

Non sono state specificate versioni FCP correttive

Al 18 settembre 2026 non sono state identificate versioni correttive o versioni di patch del fornitore per i rami FCP interessati. Le organizzazioni dovrebbero contattare il proprio fornitore del prodotto o l’organizzazione di assistenza di Hitachi Energy per ricevere istruzioni adatte alla propria installazione.

Fino a quando non sarà disponibile una remediation approvata, gli operatori dovrebbero:

1. Rimuovere l’esposizione diretta a Internet. I dispositivi FACTS Control e gli host di supporto non dovrebbero essere raggiungibili pubblicamente.
2. Segmentare gli ambienti di controllo. Collocare i sistemi operativi dietro firewall e separarli dalle reti aziendali e da altre reti meno affidabili.
3. Ridurre i servizi raggiungibili. Consentire solo i protocolli, le porte, gli host e i percorsi amministrativi necessari.
4. Proteggere l’accesso remoto. Utilizzare infrastrutture VPN sottoposte a manutenzione quando la connettività remota è necessaria per motivi operativi, proteggendo al contempo gli endpoint connessi.
5. Verificare gli account privilegiati. Limitare gli accessi amministrativi e analizzare gli account in grado di abilitare la registrazione delle sessioni.
6. Proteggere l’accesso fisico. CVE-2024-3982 dipende dall’accesso locale, rendendo direttamente rilevanti i controlli sulle postazioni di lavoro e sulle strutture.
7. Destinare le postazioni di controllo a compiti specifici. Non dovrebbero essere utilizzate per la posta elettronica, la navigazione web generica o la messaggistica istantanea.
8. Analizzare i dispositivi e i supporti portatili. I laptop e i supporti rimovibili dovrebbero essere controllati prima di essere collegati ai sistemi di controllo.

Il monitoraggio dovrebbe concentrarsi su eventi di autenticazione inattesi, modifiche alla registrazione delle sessioni, letture o modifiche insolite dei file di sistema, cambiamenti inspiegabili ai dati persistenti e servizi in ascolto su interfacce di rete non previste. Gli operatori dovrebbero inoltre analizzare i link FCP che reindirizzano gli utenti verso domini sconosciuti.

Sfruttamento attivo e stato KEV non sono stati confermati

Hitachi Energy ha segnalato le cinque vulnerabilità a CISA, che ha pubblicato un advisory sui sistemi di controllo industriale. La voce SSVC registrata è SSVCv2/E:N/A:N/2026-07-24T09:43:32Z/.

Le informazioni disponibili non stabiliscono che una delle cinque vulnerabilità sia stata aggiunta al catalogo Known Exploited Vulnerabilities di CISA. Di conseguenza, non sono note né una data di aggiunta al catalogo KEV né una scadenza federale per la remediation. Non è stato confermato alcuno sfruttamento attivo.

Gli operatori si trovano quindi a fronteggiare percorsi d’attacco gravi, ma non verificati pubblicamente nel mondo reale. Le priorità immediate sono identificare i sistemi dotati di GWS, isolare i servizi raggiungibili e ottenere indicazioni di remediation specifiche per il prodotto.