Una falla nel protocollo Mitsubishi espone il traffico di controllo industriale a manomissioni sul segmento di rete

Una vulnerabilità nell’integrità dei messaggi dell’ecosistema CC-Link IE TSN di Mitsubishi Electric potrebbe consentire a un attaccante presente sullo stesso segmento di rete di manipolare il traffico di comunicazione industriale, interrompere le funzioni di controllo o rendere indisponibili le apparecchiature.

Identificata come CVE-2026-13584, la vulnerabilità interessa un ampio insieme di controller, sistemi di movimento, servoazionamenti, moduli remoti, interfacce operatore, componenti di comunicazione, software e kit di sviluppo. CISA le ha assegnato un punteggio CVSS v3 pari a 7,1.

Al 18 settembre 2026 non sono state rese note versioni aggiornate, patch, configurazioni alternative o procedure di aggiornamento specifiche per modello. Non risultano segnalazioni di sfruttamento confermato.

I pacchetti appositamente creati possono interferire con le comunicazioni di controllo

CVE-2026-13584 è classificata come CWE-924, ovvero applicazione impropria dell’integrità dei messaggi durante la trasmissione su un canale di comunicazione. La vulnerabilità risiede nei prodotti che implementano o supportano il protocollo di comunicazione CC-Link IE TSN di Mitsubishi Electric (Update A).

L’attaccante deve prima ottenere accesso allo stesso segmento di rete delle apparecchiature interessate. L’attacco prevede l’invio di pacchetti appositamente creati in particolari condizioni temporali, consentendo potenzialmente di alterare o disturbare i dati di comunicazione durante la trasmissione.

Il requisito relativo alla tempistica può rendere gli attacchi meno affidabili, ma uno sfruttamento riuscito potrebbe avere conseguenze operative dirette. I messaggi manipolati potrebbero impedire a un controller di svolgere la funzione prevista, causare un funzionamento errato delle apparecchiature collegate o provocare una condizione di denial of service.

Non si tratta di un attacco remoto descritto come nativo di Internet o non autenticato. Le informazioni disponibili non chiariscono se sia richiesta l’autenticazione del protocollo e non indicano alcun impatto sulla riservatezza né funzionalità di esfiltrazione dei dati.

Il rischio principale riguarda l’integrità e la disponibilità all’interno della rete industriale.

Le apparecchiature interessate coprono diversi livelli di controllo

Tutti i prodotti elencati riportano la designazione di versione vers:all/*. Gli operatori dovrebbero pertanto considerare interessate tutte le versioni dei modelli indicati, salvo comunicazioni più circoscritte da parte di Mitsubishi Electric.

I controller MELSEC MX interessati sono:

• MX-R: MXR300-16, MXR300-32, MXR300-64, MXR500-128 e MXR500-256
• MX-F: MXF100-8-N32, MXF100-8-P32, MXF100-16-N32, MXF100-16-P32, MXF100S-N32, MXF100S-P32, MXF100S-8-N32, MXF100S-8-P32, MXF100S-16-N32 e MXF100S-16-P32

I moduli master/locali e le schede di interfaccia includono RJ71GN11-T2, RJ71GN11-SX, RJ71GN11-EIP, FX5-CCLGN-MS, NZ81GN11-SX e NZ81GN11-T2.

I prodotti per il motion control includono RD78G4, RD78G8, RD78G16, RD78G64, RD78GHV, RD78GHW, FX5-40SSC-G, FX5-80SSC-G, LD78G4, LD78G16, MR-EM441G, SWM-G e SWM-G-N1.

I moduli remoti interessati di tipo block sono:

• NZ2GN2S1-32D, NZ2GN2S1-32T, NZ2GN2S1-32TE, NZ2GN2S1-32DT, NZ2GN2S1-32DTE
• NZ2GN2B1-32D, NZ2GN2B1-32T, NZ2GN2B1-32TE, NZ2GN2B1-32DT, NZ2GN2B1-32DTE
• NZ2GNCF1-32D, NZ2GNCF1-32T, NZ2GNCE3-32D, NZ2GNCE3-32DT
• NZ2GN12A4-16D, NZ2GN12A4-16DE, NZ2GN12A2-16T, NZ2GN12A2-16TE, NZ2GN12A42-16DT, NZ2GN12A42-16DTE
• NZ2GN2S1-16D, NZ2GN2S1-16T, NZ2GN2S1-16TE, NZ2GN2B1-16D, NZ2GN2B1-16T e NZ2GN2B1-16TE

I moduli per le funzioni di sicurezza includono NZ2GNSS2-8D, NZ2GNSS2-8D-K, NZ2GNSS2-8TE, NZ2GNSS2-8TE-K, NZ2GNSS2-16DTE, NZ2GNSS2-16DTE-K, NZ2GNS12A2-14DT e NZ2GNS12A2-16DTE.

I prodotti per conversione, accoppiamento, FPGA e misurazione comprendono NZ2GN2S-60AD4, NZ2GN2B-60AD4, NZ2GN2S-60DA4, NZ2GN2B-60DA4, NZ2FT-GN, NZ2GN2S-D41P01, NZ2GN2S-D41D01, NZ2GN2S-D41PD02, LM7-1LG e LM7-2LG.

I sistemi servo includono MR-J5-G, MR-J5W-G, MR-J5-G-HS, MR-J5-G-RJ, MR-J5-G-LL, MR-J5D-G4, MR-MD333G, MR-JET-G e MR-JET-G4-HS.

Sono interessati anche i moduli per guide lineari MTR-SCU00-4G e MTR-SCU00-PG, oltre agli inverter FR-A8NCG, FR-A8NCG-S, FR-A800-GN, FR-E800-E e FR-E800-SCE.

Anche robot, terminali operatore, software e componenti al silicio sono esposti

L’inventario va oltre i tradizionali controller programmabili. Include la scheda di rete per controller di robot industriali 2F-DQ535-TSN, l’unità di espansione FCU8-EX569, i moduli bridge NZ2GN-GFB e NZ2AW1GNAL e l’unità di comunicazione per la misurazione dell’energia EMU4-CM-TSN.

I prodotti GOT3000 interessati sono GT3715-FHCBD, GT3712-WXCBD, GT3715-XRBA, GT3715-XRBD, GT3712-XRBA, GT3712-XRBD, GT3710-XRBA, GT3710-XRBD, GT3708-XRBA e GT3708-XRBD. È inoltre elencata l’unità di comunicazione GT25-J71GN13-T2.

I componenti software e di sviluppo includono:

• SW1DND-CCIETCT-M CC-Link IE TSN Communication Software for Windows
• SW1DNN-VIMA-M MELSOFT VIMA analysis software
• NZ2KT-NPETNG51 DeviceKit
• NZ2GACP620-60, NZ2GACP620-300, NZ2GACP621-90 e NZ2GACP621-720 communication LSIs
• SW1DNN-GN610SRC-M master/local module SDK
• SW1DNC-GNSDK1S-M e SW1DNC-GNSDK2S-M remote-station SDKs

Questa ampiezza complica l’individuazione degli asset. Le implementazioni vulnerabili del protocollo possono essere integrate in moduli di campo, pacchetti software, schede di interfaccia o componenti di comunicazione a basso livello, anziché presentarsi come dispositivi di rete autonomi.

I gestori degli impianti industriali affrontano rischi per integrità e disponibilità

L’avviso sui sistemi di controllo industriale di CISA indica una presenza a livello mondiale nel settore Critical Manufacturing. Mitsubishi Electric ha sede in Giappone.

Le conseguenze dipendono dal ruolo del componente preso di mira. Un traffico manomesso che interessi controller di movimento, azionamenti, robot o moduli remoti di input/output potrebbe causare un comportamento errato delle apparecchiature. Gli attacchi contro unità di comunicazione o componenti software potrebbero invece interrompere il coordinamento tra i diversi livelli di controllo.

Tra i prodotti elencati figurano moduli per funzioni di sicurezza, ma non sono state rese note conseguenze specifiche sui sistemi di sicurezza. Gli operatori non dovrebbero presumere che le normali procedure di contenimento IT possano essere applicate senza rischi, se non dopo averle testate operativamente.

Non risultano indicatori associati a una campagna di attacco specifica. Non sono stati identificati attori delle minacce, codice di exploit o casi di sfruttamento confermato.

Non è stato indicato che CVE-2026-13584 sia presente nel catalogo Known Exploited Vulnerabilities di CISA e non è stata fornita alcuna scadenza KEV per la correzione. Le informazioni disponibili non confermano inoltre un recente andamento di altre vulnerabilità di Mitsubishi Electric inserite nel catalogo KEV.

I responsabili della difesa dovrebbero isolare i segmenti del protocollo in attesa delle correzioni

In assenza di una versione correttiva pubblicata, i controlli di rete offrono la riduzione del rischio più immediata. I responsabili degli asset dovrebbero innanzitutto individuare ogni modello elencato, comprese schede di comunicazione, kit di sviluppo, software Windows e LSI integrati in altri prodotti.

L’accesso ai segmenti CC-Link IE TSN dovrebbe essere limitato ai controller autorizzati, alle workstation di engineering e agli host industriali necessari. I sistemi aziendali, i servizi esposti a Internet e i dispositivi non attendibili non dovrebbero condividere tali segmenti né ottenere un accesso instradato senza restrizioni.

Il monitoraggio dovrebbe concentrarsi su:

• Tempistiche insolite dei pacchetti CC-Link IE TSN o picchi di traffico
• Messaggi di protocollo malformati o inattesi
• Errori di integrità della comunicazione
• Modifiche non pianificate dello stato di controllo
• Riavvii inattesi di controller, moduli, azionamenti o terminali operatore
• Perdite intermittenti della comunicazione o condizioni di denial of service non spiegate

Quando si verificano anomalie, è opportuno conservare le catture di rete e i log dei controller. Poiché lo sfruttamento dipende in parte dalla tempistica, gli eventi isolati potrebbero altrimenti risultare difficili da ricostruire.

Qualsiasi futuro aggiornamento del firmware, del software, dei controller o dei moduli dovrebbe essere coordinato con Mitsubishi Electric e con il team responsabile della tecnologia operativa. Le modifiche dovrebbero essere testate in un ambiente rappresentativo prima della distribuzione in produzione, in particolare quando sono coinvolti sistemi di movimento, robotica, azionamenti, funzioni di sicurezza o processi produttivi continui.