Tycon TPDIN-Monitor-WEB2, due falle espongono relè e configurazioni al controllo remoto

CISA ha aggiornato il 3 settembre 2026 l’advisory relativo a due vulnerabilità nel dispositivo Tycon Systems TPDIN-Monitor-WEB2 (Update A). Sono interessati tutti i firmware precedenti alla versione 2.4.5.

La falla più grave, identificata come CVE-2026-61884, permette di aggirare l’autenticazione web e ottenere una sessione amministrativa completa. La seconda, CVE-2026-55985, rende leggibili alcune credenziali di sistema agli utenti già autenticati.

Un attaccante potrebbe modificare la configurazione di rete, intervenire sui servizi di accesso remoto, riavviare il dispositivo e controllare i relè di alimentazione. In un ambiente industriale, l’impatto può estendersi alle apparecchiature collegate.

L’aggiornamento dell’advisory ridefinisce le versioni vulnerabili

L’advisory era stato pubblicato inizialmente il 21 luglio 2026. L’aggiornamento del 3 settembre 2026 ha corretto l’intervallo delle versioni interessate e integrato i dettagli tecnici forniti dal produttore.

Il perimetro ora indicato è preciso:

Prodotto	Versioni vulnerabili	Versione corretta
Tycon Systems TPDIN-Monitor-WEB2 (Update A)	firmware precedenti a 2.4.5	2.4.5

Tycon Systems ha sede negli Stati Uniti, mentre il dispositivo risulta distribuito a livello mondiale. Il settore di riferimento indicato è Critical Manufacturing. Le vulnerabilità sono state segnalate a CISA da Abdiwelli Guled.

Il problema non riguarda genericamente tutti i prodotti Tycon della stessa famiglia. In particolare, TPDIN-Monitor-WEB3 è un dispositivo distinto, con firmware e vulnerabilità differenti, e non deve essere confuso con il WEB2 interessato da questo advisory.

CVE-2026-61884 consente una sessione amministrativa senza login

CVE-2026-61884 è la vulnerabilità principale. Ha un punteggio CVSS 3.1 di 9.8 su 10, con classificazione critica e vettore:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Il vettore descrive un attacco eseguibile attraverso la rete, con bassa complessità, senza privilegi preliminari e senza interazione dell’utente. Confidenzialità, integrità e disponibilità possono essere compromesse completamente.

Il dispositivo viene distribuito senza credenziali HTTP già configurate. L’installatore dovrebbe impostare nome utente e password amministrativi durante la configurazione iniziale. Nei firmware 2.4.4 e precedenti, tuttavia, il mancato completamento di questo passaggio può lasciare il pannello web privo di una protezione effettiva.

L’analisi tecnica evidenzia anche una carenza nella validazione lato server. Un aggressore può inviare valori vuoti nei campi destinati alle credenziali e, sui dispositivi vulnerabili, ottenere comunque una sessione amministrativa valida.

Non si tratta quindi del semplice accesso a una pagina informativa. La sessione espone le principali funzioni operative del dispositivo, comprese:

• attivazione e disattivazione dei relè di alimentazione;
• riavvio dell’apparato;
• modifica delle impostazioni di rete;
• configurazione dei servizi utilizzati per l’accesso remoto.

CISA classifica la debolezza come CWE-306, Missing Authentication for Critical Function. NVD utilizza invece CWE-288, relativa all’aggiramento dell’autenticazione mediante un percorso alternativo. Le due classificazioni divergono, ma punteggio e vettore CVSS 3.1 coincidono.

Secondo CVSS 4.0, la vulnerabilità raggiunge 9.3, ancora di livello critico.

CVE-2026-55985 mostra credenziali leggibili nel pannello

La seconda vulnerabilità, CVE-2026-55985, riguarda la gestione delle informazioni sensibili nell’interfaccia web. Una specifica pagina di configurazione restituisce credenziali di sistema in formato leggibile agli utenti autenticati.

Il punteggio è CVSS 3.1 pari a 4.3, livello medio, con vettore:

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

In questo caso l’aggressore deve già disporre di un account o di una sessione valida. Non è richiesta l’interazione di un’altra persona e l’impatto diretto riguarda la riservatezza, non la modifica o l’indisponibilità dei dati.

La classificazione è CWE-312, Cleartext Storage of Sensitive Information. Il punteggio CVSS 4.0 è 5.3, sempre di gravità media.

Considerate insieme, le due falle possono amplificare il rischio. Dove il bypass di CVE-2026-61884 consente di creare una sessione amministrativa, quella stessa sessione può rendere accessibili le credenziali esposte da CVE-2026-55985. Le informazioni recuperate potrebbero poi essere riutilizzate contro altri sistemi della rete locale.

Il firmware 2.4.5 rimuove tali credenziali dalla risposta generata dall’interfaccia web.

Dai relè compromessi ai possibili danni alle apparecchiature

Il TPDIN-Monitor-WEB2 gestisce funzioni che possono avere effetti sul mondo fisico. Per questo il rischio non coincide con la sola compromissione di un account amministrativo.

La manipolazione dei relè può interrompere l’alimentazione dell’infrastruttura collegata oppure alterarne il normale ciclo operativo. Anche un riavvio non autorizzato può causare disservizi, soprattutto quando il dispositivo sostiene apparati remoti o installazioni non presidiate.

La modifica delle impostazioni di rete potrebbe inoltre rendere il sistema irraggiungibile dagli operatori legittimi. Intervenire sui servizi di accesso remoto può invece creare ulteriori percorsi di ingresso o modificare quelli usati per la manutenzione.

Le conseguenze indicate comprendono quindi interruzioni operative e possibili danni fisici alle apparecchiature. La gravità effettiva dipende dall’uso del dispositivo e dai carichi controllati.

L’interfaccia web aggrava l’esposizione perché funziona esclusivamente tramite HTTP. Le credenziali e le sessioni non beneficiano della protezione offerta da HTTPS durante il trasporto. Il pannello non dovrebbe essere pubblicato direttamente su Internet.

Firmware 2.4.5 e controlli da applicare subito

La correzione raccomandata è l’installazione del firmware 2.4.5, che interviene su entrambe le vulnerabilità. La nuova versione impone la configurazione di nome utente e password amministrativi prima di rendere disponibile il pannello web.

Dopo l’aggiornamento, gli amministratori dovrebbero verificare che il firmware installato corrisponda effettivamente alla versione corretta. Per i sistemi che non possono essere aggiornati immediatamente, Tycon Systems indica una serie di misure compensative:

1. configurare credenziali amministrative robuste nella pagina Network Configuration;
2. aprire il pannello in una finestra privata del browser e verificare che venga richiesto il login;
3. ripetere configurazione e controllo dopo ogni ripristino ai valori di fabbrica;
4. sostituire le community string SNMP predefinite;
5. cambiare l’eventuale password Telnet ancora impostata sul valore di fabbrica;
6. mantenere Telnet disabilitato quando non è indispensabile;
7. usare per gli avvisi un account di posta dedicato, non impiegato per attività sensibili.

Il dispositivo deve essere collocato su una rete privata, protetta da firewall o raggiungibile attraverso una VPN aggiornata. Le reti di controllo vanno segmentate dalle reti aziendali, limitando le connessioni alle sole postazioni e porte necessarie.

Prima di modificare apparati in produzione è opportuno valutare gli effetti sulla continuità operativa. La mitigazione non deve introdurre un’interruzione più grave del rischio che intende ridurre.

Nessuno sfruttamento pubblico noto e stato KEV non indicato

Al momento dell’advisory non risultavano segnalazioni di sfruttamento pubblico mirato di CVE-2026-61884 o CVE-2026-55985. Non sono stati resi noti indicatori di compromissione specifici, come indirizzi IP, richieste HTTP o file associati ad attacchi.

Non è inoltre indicata l’inclusione delle due vulnerabilità nel catalogo Known Exploited Vulnerabilities di CISA. Di conseguenza, non risulta una scadenza federale KEV associata alla loro correzione.

L’assenza di sfruttamento pubblico noto non riduce però la necessità di intervenire. Il bypass non richiede credenziali, ha complessità bassa e concede accesso a funzioni capaci di incidere direttamente sull’operatività. La priorità è aggiornare al firmware 2.4.5 e rimuovere qualsiasi esposizione diretta del pannello HTTP.