Rockwell Automation, due falle consentono l’escalation a SYSTEM tramite DLL malevole

CISA ha segnalato il 1° settembre 2026 due vulnerabilità ad alta gravità nel Rockwell Automation Redundancy Module Configuration Tool, software distribuito a livello mondiale e impiegato anche nel comparto delle manifatture critiche.

Le falle, identificate come CVE-2026-9633 e CVE-2026-9634, permettono a un utente locale con privilegi limitati di predisporre l’esecuzione di codice come Administrator/SYSTEM. Per completare l’attacco, però, è necessario che un amministratore avvii successivamente il programma vulnerabile.

Non si tratta quindi di vulnerabilità sfruttabili direttamente da remoto. Al momento della pubblicazione non risultano inoltre campagne pubbliche note mirate specificamente contro questi difetti.

Quali versioni del tool sono vulnerabili

Entrambe le vulnerabilità interessano il Redundancy Module Configuration Tool di Rockwell Automation, ma riguardano intervalli di versione e file eseguibili differenti:

Vulnerabilità	Componente interessato	Versioni vulnerabili
CVE-2026-9633	RM3ConfigTool.exe	10.00.00
CVE-2026-9634	RMConfigTool.exe	Dalla 9.00.00 alla 10.00.00, incluse

Rockwell Automation ha corretto entrambi i problemi nella versione 10.01.00, che costituisce quindi l’aggiornamento di riferimento per tutte le installazioni coinvolte.

Lo stato dei prodotti interessati è indicato come known_affected. Le organizzazioni dovrebbero verificare la versione realmente installata sulle workstation tecniche, evitando di basarsi soltanto sugli inventari centrali, che negli ambienti industriali possono non essere aggiornati.

L’attacco sfrutta directory scrivibili nel percorso di sistema

Le due falle appartengono alla categoria CWE-276 – Incorrect Default Permissions. Il problema nasce dalla combinazione tra permessi predefiniti troppo permissivi e il modo in cui gli eseguibili cercano una libreria DLL necessaria.

Durante l’avvio, RM3ConfigTool.exe o RMConfigTool.exe cercano la DLL nelle directory comprese nel percorso di sistema. Una o più di queste posizioni possono risultare scrivibili da utenti standard, nonostante siano consultate da un programma che può essere eseguito con privilegi elevati.

Un aggressore già presente sulla macchina, ma confinato in un account con autorizzazioni limitate, può quindi depositare una DLL costruita appositamente in una directory accessibile. Il codice non viene necessariamente eseguito subito.

L’innesco avviene quando un amministratore apre il tool vulnerabile. Se la ricerca delle librerie porta al file introdotto dall’attaccante, la DLL viene caricata nel processo elevato e il suo codice ottiene i privilegi Administrator/SYSTEM.

È una forma di escalation locale basata sul caricamento insicuro delle librerie. Richiede tre condizioni:

1. l’aggressore deve poter operare localmente sul sistema;
2. deve poter scrivere in almeno una directory esaminata dal programma;
3. un amministratore deve avviare successivamente il tool vulnerabile.

L’interazione privilegiata limita l’immediatezza dell’attacco, ma non ne riduce l’impatto una volta completata la catena.

Impatto elevato sulle workstation industriali

CISA assegna a entrambe le vulnerabilità un punteggio CVSS v3.1 di 7.3, classificato High, con il seguente vettore:

CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H

La valutazione CVSS v4.0 è 7, ancora High:

CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

I vettori descrivono un attacco locale, a bassa complessità, che parte da privilegi limitati e richiede l’azione di un utente con maggiori autorizzazioni. La riuscita può compromettere completamente riservatezza, integrità e disponibilità del sistema vulnerabile.

Il rischio concreto dipende dal ruolo della macchina. Su una workstation isolata, l’aggressore ottiene principalmente il controllo del sistema operativo. Su un computer tecnico collegato a reti di automazione, asset produttivi o sistemi di controllo, gli stessi privilegi possono diventare un punto di partenza per alterazioni operative, furto di configurazioni o movimenti laterali.

La vulnerabilità non fornisce da sola un accesso iniziale. Può però trasformare una compromissione limitata — ottenuta, per esempio, tramite credenziali deboli, malware o tecniche di social engineering — in controllo amministrativo della workstation.

Nessuno sfruttamento pubblico noto e nessuna scadenza KEV indicata

Al momento della segnalazione non risultano attività pubbliche di sfruttamento rivolte specificamente a CVE-2026-9633 o CVE-2026-9634. La necessità di accesso locale distingue questi difetti dalle vulnerabilità ICS direttamente raggiungibili attraverso servizi esposti in rete.

Non è indicato l’inserimento delle due CVE nel catalogo Known Exploited Vulnerabilities (KEV) di CISA. Di conseguenza, non risultano una data di inclusione o una scadenza federale di correzione associate al catalogo.

Questo non equivale a una garanzia di sicurezza. La tecnica impiegata è compatibile con operazioni successive all’accesso iniziale, nelle quali un intruso cerca di superare i limiti dell’account compromesso senza attirare l’attenzione.

Non sono state rese note informazioni su eventuali precedenti recenti di Rockwell Automation nel KEV pertinenti a questa segnalazione. Le due vulnerabilità vanno quindi valutate sulla base dell’esposizione effettiva del tool e dei privilegi disponibili sulle macchine che lo eseguono.

Aggiornamento alla versione 10.01.00 e controlli temporanei

La misura principale è installare Redundancy Module Configuration Tool 10.01.00. Prima dell’aggiornamento, soprattutto nei sistemi industriali, CISA raccomanda un’analisi dell’impatto e del rischio specifica per l’ambiente operativo.

Quando la patch non può essere applicata subito, gli amministratori dovrebbero almeno:

• individuare tutte le installazioni delle versioni dalla 9.00.00 alla 10.00.00;
• limitare l’accesso locale alle workstation che ospitano il tool;
• controllare quali directory del percorso di sistema siano scrivibili dagli utenti standard;
• rimuovere autorizzazioni non necessarie, dopo aver verificato la compatibilità operativa;
• evitare l’esecuzione del programma con account amministrativi finché il sistema non viene aggiornato;
• applicare le security best practices di Rockwell Automation.

Non sono stati pubblicati indicatori di compromissione specifici. I team di sicurezza possono tuttavia cercare DLL create o modificate da account non amministrativi nelle directory consultate dagli eseguibili vulnerabili, oltre a caricamenti anomali di librerie da parte di RM3ConfigTool.exe e RMConfigTool.exe.

È utile correlare questi eventi con l’avvio del tool tramite credenziali amministrative e con la successiva creazione di processi inattesi. Una DLL sconosciuta non prova da sola un attacco, ma richiede una verifica dell’origine, della firma e del percorso di caricamento.

Segmentazione e difesa in profondità per gli ambienti ICS

CISA raccomanda di mantenere dispositivi e sistemi di controllo non accessibili direttamente da Internet, collocandoli dietro firewall e separando le reti industriali da quelle aziendali.

L’accesso remoto, quando indispensabile, dovrebbe passare attraverso soluzioni più protette, come VPN aggiornate. Anche gli endpoint autorizzati a collegarsi devono essere controllati: una VPN non neutralizza la compromissione del dispositivo remoto.

Per questa specifica coppia di falle, la segmentazione non impedisce il caricamento locale della DLL. Può però contenere le conseguenze, riducendo la capacità di una workstation compromessa di raggiungere altri asset produttivi.

Le organizzazioni dovrebbero infine integrare il controllo nei processi di incident response e segnalare le attività sospette a CISA. Gli avvisi e gli aggiornamenti del produttore sono disponibili nella pagina dedicata ai Security Advisories di Rockwell Automation.