Quattro vulnerabilità di AVEVA Pipeline Integrity Monitor espongono dati di progetto e sessioni utente

La Cybersecurity and Infrastructure Security Agency degli Stati Uniti ha pubblicato il 10 settembre 2026 un avviso sui sistemi di controllo industriale relativo a quattro vulnerabilità di AVEVA Pipeline Integrity Monitor.

Le vulnerabilità interessano tutte le versioni fino a 2025_SP1_P1_build_7.1.9580.8513, inclusa. Riguardano materiale crittografico hard-coded, hashing delle password debole, controlli di autorizzazione mancanti e cross-site scripting nel componente PIMBoards.

Due vulnerabilità hanno un punteggio CVSS v3.1 pari a 8,4 e potrebbero esporre informazioni sensibili sui progetti o aiutare gli attaccanti a recuperare le credenziali. Le altre due consentono di leggere dati senza autorizzazione ed eseguire JavaScript nel browser.

AVEVA raccomanda di installare AVEVA Pipeline Integrity Monitor 2025 SP1 P2 Security Update, migrare i progetti meno recenti e chiedere agli utenti di PIMBoards di modificare le proprie password.

Le installazioni interessate coprono il settore manifatturiero critico in tutto il mondo

Il software interessato è AVEVA Pipeline Integrity Monitor, nello specifico le versioni pari o precedenti a:

2025_SP1_P1_build_7.1.9580.8513

Lo stesso intervallo di versioni si applica a tutte e quattro le vulnerabilità. Non è stato reso noto un intervallo più ristretto per singolo CVE.

Le installazioni di Pipeline Integrity Monitor sono associate al settore manifatturiero critico e vengono utilizzate in tutto il mondo. Questo contesto operativo aumenta il costo della correzione: i team di sicurezza potrebbero dover coordinare gli aggiornamenti con i requisiti di ingegneria, disponibilità, backup e ripristino, invece di trattare il software come una normale applicazione da ufficio.

Le vulnerabilità riguardano principalmente i file di progetto PIMBoards e le sessioni del browser PIMBoards. I relativi vettori di attacco sono molto diversi. Due vulnerabilità richiedono che l’attaccante ottenga l’accesso locale in lettura ai file di progetto, mentre un’altra è raggiungibile da remoto senza autenticazione. Anche la vulnerabilità di cross-site scripting viene attivata da remoto, ma richiede che un utente apra un link dannoso.

L’avviso sui sistemi di controllo industriale di CISA è una prima ripubblicazione del bollettino di sicurezza AVEVA AVEVA-2026-006.

Crittografia hard-coded e hashing debole rappresentano i rischi maggiori

CVE-2026-81821 riguarda una chiave crittografica hard-coded, classificata come CWE-321. Un attaccante con accesso in lettura a un file di progetto PIMBoards potrebbe utilizzare il materiale della chiave incorporato o prevedibile per decrittografare le informazioni sensibili contenute nel file.

Non si tratta di una compromissione remota diretta. L’attaccante deve prima ottenere l’accesso locale e privilegi di basso livello sufficienti a leggere i dati di progetto interessati. Una volta soddisfatta questa condizione, tuttavia, la crittografia non costituisce più una barriera efficace.

La vulnerabilità ha un punteggio CVSS v3.1 pari a 8,4:

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N

Il vettore indica una bassa complessità dell’attacco, privilegi richiesti ridotti e nessuna interazione dell’utente. Registra conseguenze elevate per la riservatezza e l’integrità, senza un impatto diretto sulla disponibilità. CISA assegna un punteggio CVSS v4 pari a 8,3.

CVE-2026-81822 interessa l’hashing delle password native dell’applicazione PIMBoards. Il software utilizza un algoritmo crittografico considerato compromesso o rischioso, collocando la vulnerabilità nella categoria CWE-327.

Con accesso in lettura a un file di progetto, un attaccante potrebbe estrarre gli hash delle password ed eseguire attacchi di forza bruta computazionalmente intensivi. Il recupero delle password potrebbe esporre gli account utente e potenzialmente consentire di ottenere privilegi di amministratore di PIMBoards.

Anche questa vulnerabilità ha un punteggio CVSS v3.1 pari a 8,4, con lo stesso vettore di CVE-2026-81821:

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N

La valutazione CVSS v4 di CISA è pari a 8,3. Entrambi i problemi sono classificati come di gravità elevata secondo i due sistemi di valutazione.

Queste vulnerabilità rendono particolarmente sensibili i file di progetto copiati. Backup, esportazioni temporanee, artefatti di migrazione, copie sulle workstation di ingegneria e altri file conservati possono mantenere i formati vulnerabili di crittografia e hashing delle password anche dopo l’aggiornamento dell’installazione in produzione.

L’assenza di autorizzazione consente la lettura senza autenticazione

CVE-2026-81823 è una vulnerabilità dovuta all’assenza di autorizzazione, classificata come CWE-862. Consente a un attaccante non autenticato di inviare richieste di lettura che dovrebbero essere limitate agli utenti autenticati di PIMBoards.

A differenza dei due problemi crittografici, questa vulnerabilità è raggiungibile dalla rete. Non richiede né privilegi né interazione dell’utente e la complessità dell’attacco è valutata come bassa.

L’effetto segnalato è la divulgazione di informazioni. Le operazioni di scrittura non sono interessate; il problema, quindi, non viene descritto come una possibilità di modifica dei dati PIMBoards senza autenticazione.

Il punteggio CVSS v3.1 è pari a 5,3:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

La valutazione indica un impatto ridotto sulla riservatezza e nessun impatto sull’integrità o sulla disponibilità. CISA assegna alla vulnerabilità un punteggio CVSS v4 pari a 6,9. Entrambi i sistemi la classificano come di gravità media.

Sebbene il punteggio sia inferiore a quello delle vulnerabilità dei file di progetto, CVE-2026-81823 richiede meno prerequisiti di accesso. I responsabili della difesa dovrebbero quindi verificare se le interfacce PIMBoards vulnerabili siano raggiungibili da reti non attendibili, ambienti aziendali adiacenti o infrastrutture per l’accesso remoto.

I link dannosi possono eseguire JavaScript nelle sessioni PIMBoards

CVE-2026-81824 è una vulnerabilità di cross-site scripting classificata come CWE-79. Un attaccante può creare un link che provoca l’esecuzione di JavaScript arbitrario nella sessione del browser di un utente PIMBoards.

Lo sfruttamento dipende dall’ingegneria sociale. L’utente preso di mira deve essere convinto ad aprire il link dannoso, rendendo plausibili come meccanismi di distribuzione i messaggi di phishing e altre comunicazioni indesiderate.

La vulnerabilità ha un punteggio CVSS v3.1 pari a 4,7:

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:N/A:N

La valutazione v3.1 assegna un impatto ridotto sulla riservatezza, nessun impatto diretto sull’integrità o sulla disponibilità e un ambito di sicurezza modificato. Il punteggio CVSS v4 di CISA è 6,3 e descrive un impatto ridotto sulla riservatezza, associato a effetti elevati sull’integrità e sulla disponibilità dei sistemi successivi.

Queste valutazioni non dovrebbero essere ricondotte a un’unica interpretazione. I sistemi di scoring modellano in modo diverso le conseguenze nel browser e quelle sui sistemi a valle, sebbene entrambi classifichino la vulnerabilità come di gravità media.

L’aggiornamento di sicurezza richiede una migrazione dei progetti a senso unico

La versione correttiva di AVEVA è AVEVA Pipeline Integrity Monitor 2025 SP1 P2 Security Update. Le organizzazioni dovrebbero installarla e migrare i file di progetto PIMBoards meno recenti.

La migrazione richiede una preparazione, perché è a senso unico. I progetti convertiti nel nuovo formato non possono essere semplicemente riportati al formato precedente. AVEVA attribuisce questa limitazione ai metodi aggiornati di hashing delle password e alle chiavi di crittografia gestite dagli utenti finali.

Prima della migrazione, gli operatori dovrebbero verificare i backup e le procedure di ripristino, documentare le dipendenze e testare l’aggiornamento rispetto ai flussi di lavoro operativi. Un piano di rollback non può basarsi sulla conversione di un progetto aggiornato nel formato legacy vulnerabile.

I file legacy che non possono essere migrati richiedono una gestione separata. Sono inclusi i vecchi backup e le copie temporanee conservate sulle workstation, nello storage condiviso, nei supporti rimovibili o nei sistemi di backup. Le organizzazioni dovrebbero limitare l’accesso in lettura a questi file e valutare se le informazioni sulle password memorizzate possano essere già state esposte.

Tutti gli utenti PIMBoards dovrebbero modificare le proprie password. La reimpostazione delle password è particolarmente importante quando i file di progetto interessati sono stati accessibili a un numero di utenti o sistemi superiore al necessario. Una password recuperata e riutilizzata su altri servizi aumenterebbe il rischio anche al di fuori di PIMBoards, sebbene non siano stati segnalati incidenti specifici di riutilizzo delle credenziali.

I responsabili della difesa dovrebbero limitare l’esposizione e analizzare l’accesso ai file

I dispositivi dei sistemi di controllo e i servizi di supporto non dovrebbero essere esposti direttamente a Internet. Gli ambienti Pipeline Integrity Monitor dovrebbero essere collocati dietro firewall, con una segmentazione che separi le reti operative dai sistemi aziendali generici.

Quando è necessaria l’amministrazione remota, le organizzazioni dovrebbero utilizzare meccanismi di accesso remoto gestiti e proteggere gli endpoint di connessione. Una VPN non compensa la presenza di un’installazione PIM non aggiornata e anche il software VPN deve essere mantenuto aggiornato.

I team di sicurezza dovrebbero esaminare i registri degli accessi ai file di progetto PIMBoards, compresi i repository di backup e le aree condivise di ingegneria. Tra i segnali d’allarme rientrano letture inattese dei file, attività insolite di copia o archiviazione, accessi da parte di account con pochi privilegi e accessi amministrativi non giustificati dopo l’accesso a dati di progetto legacy.

Dovrebbero essere analizzati anche i log web e quelli dell’applicazione, alla ricerca di richieste di lettura senza autenticazione e link sospetti indirizzati agli utenti PIMBoards. Non sono stati divulgati indicatori di compromissione universali.

AVEVA ha segnalato CVE-2026-81821 e CVE-2026-81822 a CISA. Il ricercatore Adham Khairy Ramadan, noto anche come 0xadham, ha segnalato CVE-2026-81823 e CVE-2026-81824 ad AVEVA tramite HackerOne.

Quando ha pubblicato l’avviso, CISA non aveva ricevuto segnalazioni di sfruttamento pubblico noto mirato specificamente a queste vulnerabilità. Nessuna delle quattro vulnerabilità presenta una voce pubblicata nel catalogo CISA Known Exploited Vulnerabilities né una scadenza di correzione associata. I sospetti di sfruttamento dovrebbero essere gestiti attraverso le procedure consolidate di risposta agli incidenti e segnalati a CISA.