Una falla nelle credenziali di Schneider Electric SCADAPack espone i dati di autenticazione delle RTU

Schneider Electric ha divulgato una vulnerabilità nella protezione delle credenziali che interessa diverse famiglie di unità terminali remote SCADAPack utilizzate in tutto il mondo negli ambienti energetici e della produzione critica.

Tracciata come CVE-2026-81861, la falla riguarda la funzione legacy Secure Lock. Le informazioni di autenticazione potrebbero essere esposte, consentendo potenzialmente a soggetti non autorizzati di accedere alle funzionalità o alla configurazione delle RTU.

Schneider Electric ha pubblicato il primo avviso l’8 settembre 2026. CISA ha ripubblicato la segnalazione il 15 settembre 2026, attribuendola al ricercatore di sicurezza Abhinav Agarwal.

La vulnerabilità ha ottenuto un punteggio base CVSS v3.1 di 6,5, che la colloca nella fascia di gravità media. Non sono stati segnalati sfruttamenti attivi e il problema non risulta incluso nel catalogo Known Exploited Vulnerabilities di CISA.

Tutte le versioni SCADAPack elencate sono considerate interessate

L’avviso di CISA sui sistemi di controllo industriale assegna lo stato known_affected a sette famiglie di prodotti Schneider Electric:

• SCADAPack 47x — vers:all/*
• SCADAPack 47xi — vers:all/*
• SCADAPack 47xd — vers:all/*
• SCADAPack 470R — vers:all/*
• SCADAPack 57x — vers:all/*
• SCADAPack 3xx — vers:all/*
• SCADAPack 32 — vers:all/*

La designazione vers:all/* indica che la segnalazione non limita l’esposizione a versioni specifiche del firmware o del software. Di conseguenza, gli operatori dovrebbero considerare potenzialmente vulnerabili tutte le versioni delle famiglie elencate, salvo indicazioni più circoscritte da parte di Schneider Electric.

Il riepilogo dell’avviso si concentra sulle linee di prodotto 47x, 47xi, 47xd, 470R e 57x, indicate come RTU SCADAPack x70. Tuttavia, la tabella dettagliata dei prodotti interessati cita anche SCADAPack 3xx e SCADAPack 32. Queste famiglie aggiuntive non dovrebbero essere trascurate durante l’inventario degli asset o la valutazione del rischio.

Le RTU SCADAPack gestiscono le comunicazioni per il monitoraggio e il controllo da remoto. Il loro impiego negli ambienti della produzione critica e dell’energia rende particolarmente importante disporre di un inventario accurato, anche se l’impatto documentato della falla è limitato alla riservatezza.

Secure Lock non protegge adeguatamente le credenziali

CVE-2026-81861 è classificata come CWE-522, ovvero credenziali protette in modo insufficiente. La debolezza risiede in Secure Lock, una funzione legacy di controllo degli accessi mantenuta per garantire la compatibilità con i sistemi meno recenti.

Lo sfruttamento riuscito potrebbe rivelare informazioni di autenticazione e consentire l’accesso non autorizzato alle funzioni delle RTU. CISA descrive più precisamente il rischio conseguente come accesso non autorizzato alla configurazione delle RTU tramite Secure Lock.

Il vettore CVSS pubblicato è:

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N

Questo vettore descrive una vulnerabilità raggiungibile tramite rete, con bassa complessità di attacco e senza necessità di privilegi preesistenti. Lo sfruttamento richiede tuttavia l’interazione dell’utente, anche se la segnalazione non specifica quale azione dovrebbe eseguire.

La valutazione assegna un impatto elevato alla riservatezza. Al contrario, non rileva impatti diretti sull’integrità o sulla disponibilità e non indica che lo sfruttamento oltrepassi un confine di autorità di sicurezza.

Questa distinzione è importante per l’analisi del rischio operativo. La valutazione pubblicata non descrive la possibilità che un attaccante modifichi i valori di processo, interrompa il funzionamento delle RTU o provochi una perdita di servizio sfruttando esclusivamente questa vulnerabilità. Indica però la possibile divulgazione di materiale di autenticazione e l’accesso a informazioni di configurazione sensibili.

Queste credenziali potrebbero avere rilevanza per la sicurezza anche oltre l’immediata perdita di riservatezza, ma la segnalazione non documenta ulteriori fasi di attacco. Le organizzazioni dovrebbero evitare di presumere sia che una compromissione più ampia sia inevitabile, sia che i dati di autenticazione esposti siano innocui.

Nessuna patch o versione corretta è stata annunciata

La segnalazione non identifica una patch di sicurezza, una versione corretta del firmware o una versione non interessata. Schneider Electric raccomanda invece di abbandonare Secure Lock laddove i requisiti operativi e di compatibilità lo consentano.

Per i dispositivi SCADAPack 47x, il meccanismo preferito è Role-Based Access Control. Secure Lock dovrebbe rimanere abilitato solo quando le dipendenze dai sistemi legacy ne rendono necessario l’utilizzo.

Gli operatori dovrebbero abilitare e configurare RBAC seguendo la documentazione del prodotto, in particolare le sezioni dedicate alle indicazioni di sicurezza per gli amministratori e ai controlli degli accessi basati sui ruoli. Schneider Electric rimanda inoltre alla SCADAPack Cybersecurity Guide per indicazioni sull’hardening dei dispositivi e sulle comunicazioni protette.

La documentazione pertinente è disponibile attraverso il portale della documentazione RemoteConnect e SCADAPack x70 Utilities dell’azienda. I clienti che necessitano di assistenza specifica sul prodotto possono contattare un rappresentante locale di Schneider Electric o il team Industrial Cybersecurity Services dell’azienda.

Poiché non è stata indicata una versione corretta, la risposta pratica consiste nell’applicare misure di mitigazione basate sulla configurazione e nel ridurre l’esposizione di rete. I responsabili degli asset dovrebbero documentare ogni dispositivo che utilizza ancora Secure Lock e stabilire se sia possibile eliminare ciascuna dipendenza legacy.

La segmentazione e il firewall delle RTU possono ridurre l’esposizione

Schneider Electric raccomanda di separare le reti affidabili da quelle non affidabili e di controllare rigorosamente il traffico tra di esse. Dovrebbe inoltre essere abilitato RTU Firewall Service, così da bloccare l’accesso non autorizzato ai servizi dei dispositivi e ridurre la superficie di attacco raggiungibile.

Le reti di controllo e di sicurezza dovrebbero rimanere isolate dai sistemi aziendali. Le RTU e gli altri dispositivi di controllo non dovrebbero essere accessibili direttamente da Internet, mentre le comunicazioni in entrata e in uscita dovrebbero essere limitate agli host, ai protocolli e ai servizi necessari.

Laddove l’accesso remoto sia operativo­amente necessario, le organizzazioni dovrebbero utilizzare connessioni protette come le VPN. Il software VPN deve essere mantenuto aggiornato, ma una VPN, da sola, non rende affidabile l’endpoint che si connette. I dispositivi che accedono all’ambiente di controllo tramite un’infrastruttura di accesso remoto richiedono una propria valutazione di sicurezza.

Anche le protezioni fisiche restano importanti. I controller dovrebbero essere custoditi in armadi chiusi a chiave e gli operatori dovrebbero evitare di lasciarli in modalità Program. Le workstation di engineering o programmazione dovrebbero connettersi esclusivamente alle reti che contengono i dispositivi destinati a gestire.

I supporti rimovibili dovrebbero essere sottoposti a scansione prima di raggiungere reti isolate o di essere collegati ai terminali. Le apparecchiature mobili che si sono connesse a un’altra rete non dovrebbero essere introdotte successivamente in un ambiente di sicurezza o di controllo senza un’adeguata sanitizzazione.

Qualsiasi nuova regola firewall, policy di controllo degli accessi o misura di isolamento dovrebbe essere sottoposta a un’analisi dell’impatto prima dell’implementazione. Modifiche difensive testate in modo insufficiente possono interrompere le comunicazioni industriali necessarie, anche quando l’obiettivo di sicurezza alla base è valido.

Nessuno sfruttamento segnalato né inserimento nel catalogo KEV

Non risultano prove che CVE-2026-81861 venga sfruttata attivamente. Inoltre, la vulnerabilità non è indicata nella segnalazione disponibile come parte del catalogo Known Exploited Vulnerabilities di CISA e non le è stata assegnata alcuna scadenza per la remediation nell’ambito KEV.

L’avviso documenta quindi una debolezza esposta, non una campagna di sfruttamento attiva e confermata. Il percorso di attacco accessibile dalla rete, l’assenza di privilegi richiesti e la possibile divulgazione di informazioni di autenticazione giustificano comunque una verifica tempestiva.

Gli operatori dovrebbero cercare accessi imprevisti alle interfacce di configurazione delle RTU, attività di autenticazione non spiegate, modifiche non autorizzate alle impostazioni di controllo degli accessi e connessioni provenienti da sistemi che normalmente non amministrano i dispositivi SCADAPack. Non sono stati pubblicati indicatori di compromissione specifici per questa vulnerabilità.

Le organizzazioni che rilevano attività sospette dovrebbero conservare i registri pertinenti relativi alla rete, all’autenticazione e alla gestione dei dispositivi. Dovrebbero quindi seguire le procedure interne di risposta agli incidenti e segnalare a CISA gli elementi rilevanti per consentirne la correlazione e il monitoraggio.

La priorità immediata è chiara: identificare ogni unità SCADAPack interessata, stabilire dove Secure Lock è ancora in uso, migrare a RBAC laddove possibile e limitare l’accesso ai dispositivi che non possono ancora abbandonare il meccanismo legacy.