Una falla di autenticazione in PowerChute apre la strada a tentativi di accesso illimitati

Una vulnerabilità raggiungibile dalla rete colpisce il software di gestione degli UPS

Schneider Electric ha divulgato una vulnerabilità nei controlli di autenticazione di PowerChute Serial Shutdown, il software per la gestione dei gruppi di continuità, il coordinamento degli arresti controllati e il monitoraggio dei consumi energetici su desktop, server e workstation.

Identificata come CVE-2026-13348, la falla può consentire a un attaccante remoto non autenticato di effettuare un numero arbitrario di tentativi di accesso in presenza di una specifica configurazione. Un’attività di individuazione della password eseguita con successo potrebbe fornire accesso non autorizzato a un account utente PCSS ed esporre i dati del sistema.

Schneider Electric ha pubblicato inizialmente il proprio avviso l’11 agosto 2026. CISA lo ha ripubblicato per la prima volta il 17 settembre 2026, convertendo il materiale CSAF del fornitore in un avviso ICS.

La vulnerabilità ha ottenuto un punteggio base CVSS v3.1 pari a 5,3, che la colloca nella fascia di gravità Media. Il vettore è:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Non sono stati segnalati casi di sfruttamento, organizzazioni compromesse o installazioni interessate. L’avviso non fornisce inoltre indicatori di compromissione. Non afferma che CVE-2026-13348 sia stata aggiunta al catalogo delle vulnerabilità note sfruttate di CISA e non specifica alcuna scadenza per la correzione prevista dal catalogo KEV.

I tentativi di autenticazione ripetuti non sono adeguatamente limitati

CVE-2026-13348 è classificata come CWE-307, Improper Restriction of Excessive Authentication Attempts. Questa classe di vulnerabilità si manifesta quando un’applicazione non rallenta, limita o blocca in misura sufficiente i tentativi ripetuti di autenticazione.

In PowerChute Serial Shutdown, il comportamento vulnerabile si verifica quando la gestione dei reindirizzamenti è disabilitata. In questa condizione, un attaccante può inviare un numero arbitrario di tentativi di autenticazione, invece di essere efficacemente limitato dalle protezioni dell’applicazione per l’accesso.

L’attacco può essere eseguito da remoto attraverso la rete e ha una bassa complessità. Non richiede un account esistente, privilegi precedenti o l’intervento di un utente legittimo. Queste caratteristiche rendono particolarmente rilevanti le interfacce PCSS esposte durante la valutazione del rischio, anche se il punteggio CVSS complessivo è Medio.

I tentativi illimitati non rivelano automaticamente una password. Possono tuttavia rendere più pratici gli attacchi basati sull’individuazione delle password e sul riutilizzo delle credenziali, soprattutto quando gli account utilizzano credenziali deboli, prevedibili o già compromesse.

L’avviso non spiega perché la gestione dei reindirizzamenti possa essere disabilitata, se questa configurazione sia comune negli ambienti di produzione o se un attaccante possa influenzarla da remoto. Non specifica inoltre alcun modello di richieste, soglia di frequenza, comportamento di registrazione o telemetria affidabile che i responsabili della difesa possano utilizzare per individuare uno sfruttamento.

L’impatto tecnico considerato nel punteggio è limitato alla riservatezza:

• Riservatezza: Bassa
• Integrità: Nessuna
• Disponibilità: Nessuna
• Ambito: Invariato

Schneider Electric avverte comunque che la mancata correzione del problema potrebbe compromettere la continuità operativa e l’accesso ai dati del sistema. Questo avvertimento più ampio non deve essere interpretato come una capacità diretta di negazione del servizio inclusa nel punteggio. Piuttosto, l’accesso non autorizzato al software utilizzato per la gestione degli UPS e degli arresti potrebbe creare un rischio operativo, a seconda dei privilegi dell’account e del contesto di installazione.

Le informazioni sulle versioni richiedono una verifica attenta

Le informazioni sulle versioni interessate contengono un’apparente incongruenza che gli amministratori dovrebbero risolvere confrontando la build installata con l’avviso di Schneider Electric.

La sintesi del prodotto associa CVE-2026-13348 alle versioni 1.5 e precedenti di PowerChute Serial Shutdown, nonché alla versione 1.6. Tuttavia, la sezione relativa ai prodotti interessati identifica come vulnerabili la versione 1.5 e quelle precedenti, mentre le indicazioni di Schneider Electric per la correzione affermano che la versione 1.6 contiene la soluzione.

Sulla base delle istruzioni per la correzione, i clienti che utilizzano la versione 1.5 o una release precedente dovrebbero passare alla versione 1.6. Le organizzazioni che riportano già la versione 1.6 non dovrebbero affidarsi esclusivamente ai numeri di versione principale e secondario visualizzati. Dovrebbero verificare che il pacchetto installato corrisponda alla build corretta indicata da Schneider Electric.

Sono disponibili programmi di installazione separati per Windows e Linux:

• Windows: https://www.se.com/ww/en/download/document/SPD-PCSS_WIN_EN/
• Linux: https://www.se.com/ww/en/download/document/SPD-PCSS_LNX_EN/

PCSS è utilizzato in tutto il mondo, anche negli ambienti di Strutture commerciali, Produzione critica, Energia e Tecnologia dell’informazione. Il suo ruolo operativo significa che gli amministratori dovrebbero valutare sia la vulnerabilità in sé sia le implicazioni per la disponibilità derivanti dall’aggiornamento del software connesso all’infrastruttura UPS.

L’aggiornamento alla versione 1.6 è la correzione principale

La correzione raccomandata da Schneider Electric è PowerChute Serial Shutdown versione 1.6. Il processo di installazione riavvia automaticamente il servizio PCSS; le indicazioni disponibili non descrivono come necessario un riavvio separato del sistema operativo.

Gli amministratori dovrebbero comunque pianificare il riavvio del servizio. Prima della distribuzione, dovrebbero esaminare le dipendenze, le attività di gestione degli UPS in corso e le eventuali procedure locali che regolano la manutenzione dei sistemi operativi.

Dopo l’installazione, la versione distribuita può essere verificata in uno dei due punti seguenti:

1. Il Pannello di controllo del sistema operativo.
2. La pagina Informazioni all’interno di PCSS dopo l’autenticazione.

A causa delle indicazioni discordanti sulle versioni, la verifica dovrebbe comprendere la conferma che il pacchetto provenga dalla posizione di download indicata da Schneider Electric. La semplice presenza di “1.6” in un registro dell’inventario potrebbe non essere sufficiente se l’organizzazione non è in grado di stabilire quale build sia stata installata.

L’avviso del fornitore correlato si intitola “Improper Restriction of Excessive Authentication Attempts vulnerability on PowerChute Serial Shutdown - SEVD-2026-223-01” ed è disponibile nei formati CSAF e PDF. Lo Security Handbook di Schneider Electric fornisce ulteriori istruzioni per l’installazione e l’hardening.

Ridurre l’accesso a PCSS durante l’applicazione delle patch

Quando l’installazione immediata non è possibile, i controlli di rete possono ridurre le opportunità di effettuare tentativi remoti di individuazione delle password. I sistemi PCSS e gli ambienti di controllo associati non dovrebbero essere direttamente raggiungibili da Internet.

Schneider Electric e CISA raccomandano di collocare le reti dei sistemi di controllo e i dispositivi remoti dietro firewall, separarli dalle reti aziendali e ridurre al minimo ogni esposizione non necessaria. L’amministrazione remota dovrebbe utilizzare un meccanismo protetto, come una VPN, mantenendo aggiornati sia il software VPN sia l’endpoint connesso.

Questi controlli non correggono CVE-2026-13348. Riducono il numero di sistemi in grado di raggiungere l’interfaccia di autenticazione.

Gli amministratori dovrebbero inoltre valutare le seguenti misure:

• Limitare l’accesso a PCSS agli host di gestione e ai segmenti di rete esplicitamente autorizzati.
• Verificare la robustezza e l’unicità delle password degli account, nonché l’eventuale riutilizzo altrove.
• Esaminare i log di autenticazione alla ricerca di volumi insolitamente elevati di tentativi di accesso non riusciti, tenendo presente che non sono stati pubblicati indicatori specifici della vulnerabilità.
• Applicare controlli sull’accesso fisico alle apparecchiature di controllo industriale e ai sistemi di sicurezza.
• Mantenere i controller in armadi chiusi a chiave ed evitare di lasciarli in modalità Program.
• Impedire al software di programmazione di connettersi a reti non pertinenti al dispositivo previsto.
• Analizzare unità USB, supporti ottici e altri dispositivi di archiviazione mobili prima di utilizzarli su reti isolate.
• Impedire ai dispositivi mobili non sanificati che si sono connessi ad altre reti di accedere agli ambienti di sicurezza o di controllo.

Qualsiasi modifica alla rete o ai controlli di accesso dovrebbe essere preceduta da un’analisi dell’impatto. Le misure difensive che interrompono la gestione legittima degli UPS o il coordinamento degli arresti potrebbero introdurre a loro volta rischi operativi.

Non sono stati pubblicati indicatori di sfruttamento

Schneider Electric CPCERT ha segnalato la vulnerabilità a CISA, ma nessuna delle due organizzazioni ha descritto attacchi che la sfruttino. Non sono state divulgate organizzazioni vittima, indirizzi dannosi, firme delle richieste, nomi di file o altri indicatori concreti che i responsabili della threat hunting possano ricercare.

Il monitoraggio dovrebbe quindi concentrarsi sui comportamenti: ripetuti errori di autenticazione, tentativi provenienti da segmenti di rete non autorizzati, accessi insoliti agli account PCSS e attività degli account incoerenti con i modelli amministrativi consolidati.

Le attività sospette dovrebbero essere gestite attraverso il processo di risposta agli incidenti dell’organizzazione. I risultati rilevanti possono inoltre essere segnalati a CISA per essere correlati con le attività osservate in altri ambienti.

In attesa di ulteriori elementi tecnici, la risposta più efficace è semplice: verificare la build PCSS esatta, installare il pacchetto corretto della versione 1.6, limitare la raggiungibilità di rete e analizzare con attenzione i ripetuti tentativi di accesso non riusciti.