Ignition, permessi predefiniti errati consentono la creazione non autorizzata di progetti

La vulnerabilità CVE-2026-77393 colpisce Inductive Automation Ignition 8.1.53 e versioni precedenti. Un’impostazione di sicurezza distribuita senza ruoli configurati permette a utenti autenticati con accesso agli script del Gateway di creare nuovi progetti, anche se non appartengono a un ruolo autorizzato.

Il problema ha gravità alta e può incidere su confidenzialità, integrità e disponibilità degli ambienti interessati. La pubblicazione iniziale è avvenuta il 3 settembre 2026. Inductive Automation ha corretto la vulnerabilità in Ignition 8.1.54, mentre la serie 8.3 non è vulnerabile.

Il campo vuoto che annulla il requisito di ruolo

La debolezza riguarda l’impostazione del Gateway denominata “Create Project Role(s)”. Nelle versioni vulnerabili, questo campo viene fornito vuoto: di conseguenza, il sistema non richiede l’appartenenza ad alcun ruolo per autorizzare la creazione di un progetto.

Non si tratta di un errore nell’esecuzione del controllo degli accessi. Il controllo applica correttamente ciò che trova nell’impostazione, ma il valore predefinito non contiene alcun ruolo da verificare.

La vulnerabilità è quindi classificata come CWE-276 — Incorrect Default Permissions, ossia permessi predefiniti non corretti. La differenza è rilevante anche per la mitigazione: valorizzando opportunamente il campo, il controllo torna a imporre il ruolo configurato.

Per sfruttare la condizione, un aggressore deve:

• possedere un account autenticato;
• poter eseguire script del Gateway;
• raggiungere il sistema attraverso la rete.

Non è invece necessaria l’interazione di un’altra persona. Anche la complessità dell’attacco è considerata bassa e i privilegi preliminari richiesti sono limitati.

Il punteggio assegnato è 8,8 su 10 secondo CVSS 3.1, con vettore:

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

La valutazione CVSS 4.0 è 8,7, con vettore:

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Versioni vulnerabili e modifica introdotta con la patch

Sono interessate tutte le versioni di Inductive Automation Ignition fino alla 8.1.53 inclusa. La versione correttiva è Ignition 8.1.54.

La situazione può essere riassunta così:

Prodotto	Versioni	Stato
Inductive Automation Ignition 8.1	<= 8.1.53	Vulnerabile
Inductive Automation Ignition 8.1	8.1.54 e successive	Corretto
Inductive Automation Ignition 8.3	Serie completa	Non interessata

La patch non si limita ad assegnare un valore predefinito diverso. In Ignition 8.1.54, la creazione dei progetti viene circoscritta alle sessioni Designer e non dipende più dall’impostazione “Create Project Role(s)”.

La medesima logica è già applicata nella serie 8.3. Per questo motivo, le installazioni appartenenti a tale ramo non risultano esposte a CVE-2026-77393.

Gli amministratori devono verificare la release effettivamente installata su ciascun Gateway. Un inventario basato soltanto sulla versione principale “8.1” non è sufficiente: la distinzione decisiva è tra la 8.1.53 e precedenti e la 8.1.54 o successive.

Perché la creazione di un progetto è un rischio negli ambienti industriali

Ignition è distribuito a livello mondiale ed è associato ad ambienti di manifattura critica, energia e information technology. In questi contesti, i progetti possono contenere componenti e logiche collegate ai processi di automazione gestiti dalla piattaforma.

Un account con privilegi apparentemente limitati, ma autorizzato a eseguire script del Gateway, potrebbe introdurre un nuovo progetto senza possedere il ruolo normalmente previsto per questa operazione. L’impatto dipende dalla configurazione concreta dell’installazione e dalle funzionalità accessibili al progetto creato.

La valutazione CVSS considera potenzialmente elevato l’effetto su tutti e tre i principali obiettivi di sicurezza:

• confidenzialità, per il possibile accesso a informazioni che non dovrebbero essere disponibili all’account;
• integrità, per la possibilità di introdurre contenuti o modifiche non autorizzate;
• disponibilità, qualora l’azione interferisca con il corretto funzionamento del sistema.

Non sono stati divulgati payload, procedure operative dettagliate o indicatori di compromissione specifici. Non sono inoltre note campagne pubbliche dirette contro questa vulnerabilità.

L’inserimento di CVE-2026-77393 nel catalogo Known Exploited Vulnerabilities (KEV) della CISA non è indicato. Non risultano quindi una data di ingresso nel catalogo o una scadenza federale di correzione associate alla falla. Non sono stati resi noti neppure eventuali precedenti recenti di Inductive Automation nel KEV.

Questa distinzione conta: la vulnerabilità presenta condizioni tecniche favorevoli allo sfruttamento, ma non è stata indicata come attivamente sfruttata sulla base delle informazioni disponibili.

Aggiornamento e workaround per le installazioni 8.1

La misura raccomandata è l’aggiornamento a Ignition 8.1.54 o a una versione successiva. In alternativa, le organizzazioni possono adottare la release più recente della serie 8.3, dopo le necessarie verifiche di compatibilità.

Quando l’aggiornamento non può essere eseguito immediatamente, è disponibile un workaround per le precedenti versioni 8.1:

1. aprire le impostazioni generali di sicurezza del Gateway;
2. individuare il campo “Create Project Role(s)”;
3. configurarlo esplicitamente in coerenza con il Designer Role;
4. verificare con account di prova che soltanto gli utenti dotati del ruolo previsto possano creare progetti.

La configurazione completa del campo elimina la specifica condizione descritta da CVE-2026-77393, perché il meccanismo di autorizzazione applica correttamente i ruoli indicati.

Le istruzioni sul parametro sono disponibili nella documentazione relativa alle Gateway General Security Settings. Gli aggiornamenti del produttore possono essere consultati nell’Inductive Automation Trust Center.

In assenza di indicatori tecnici pubblici, gli amministratori dovrebbero comunque controllare l’elenco dei progetti presenti e verificare eventuali creazioni non previste rispetto alle procedure interne. La modalità concreta di audit dipende dai log e dalla conservazione degli eventi configurati nell’installazione.

Segmentazione, accesso remoto e risposta agli eventi sospetti

CISA raccomanda di evitare l’esposizione diretta a Internet dei sistemi di controllo. I Gateway e gli altri componenti industriali dovrebbero essere protetti da firewall e separati dalle reti aziendali mediante un’architettura segmentata.

Quando l’accesso remoto è indispensabile, è opportuno utilizzare una VPN aggiornata, senza considerarla una protezione sufficiente da sola. Una VPN vulnerabile oppure un dispositivo remoto compromesso possono infatti vanificare la segmentazione.

Prima di modificare un ambiente operativo, l’organizzazione dovrebbe valutare l’impatto della patch e del workaround sui processi industriali. Gli interventi vanno poi accompagnati da controlli di difesa in profondità, gestione rigorosa degli account e riduzione dei privilegi per l’esecuzione degli script del Gateway.

Eventuali attività sospette devono essere gestite secondo le procedure interne di risposta agli incidenti e comunicate a CISA quando appropriato. Anche phishing e social engineering restano possibili vie per ottenere l’account autenticato necessario allo sfruttamento.

La vulnerabilità è stata segnalata da Christopher Lusk di North Echo Security Research. Elhussain Fathy, noto come 0xSphinx, ha individuato indipendentemente il problema e ha confermato l’efficacia della correzione.