Una falla web di OpenPLC potrebbe trasformare una sessione sottratta in un accesso al controllo dei processi industriali

Una vulnerabilità di cross-site scripting in OpenPLC Runtime v3 di Autonomy Logic potrebbe consentire agli aggressori di sottrarre sessioni degli operatori, modificare lo stato dei controller e potenzialmente manipolare processi fisici.

CISA ha pubblicato il primo avviso il 22 settembre 2026. La vulnerabilità, identificata come CVE-2026-88020, interessa il prodotto OpenPLC 3, v3 6.1 ed è classificata di gravità media.

Non è stata individuata alcuna patch del vendor né una versione aggiornata. CISA ha inoltre dichiarato di non aver ricevuto segnalazioni di sfruttamento pubblico mirato specificamente a questa vulnerabilità.

Gli input non codificati raggiungono l’interfaccia web di OpenPLC

CVE-2026-88020 è classificata come CWE-79: Improper Neutralization of Input During Web Page Generation, comunemente nota come cross-site scripting.

La falla si verifica quando l’interfaccia web di OpenPLC utilizza un parametro della stringa di query non codificato per instradare un programma. Poiché il parametro non viene neutralizzato adeguatamente, i contenuti controllati dall’aggressore possono essere interpretati dall’interfaccia invece di essere trattati esclusivamente come dati.

Si crea così un canale per l’esecuzione di contenuti web dannosi nel contesto della sessione del browser di un operatore autenticato. L’aggressore non ha bisogno di disporre di un account OpenPLC, ma per sfruttare la vulnerabilità deve indurre l’utente preso di mira a interagire con i contenuti dannosi.

L’obiettivo principale sarebbe sottrarre il cookie di sessione dell’operatore. Una volta compromessa la sessione, l’aggressore potrebbe inviare richieste che modificano lo stato, apparendo all’applicazione OpenPLC come l’utente legittimo.

Questa distinzione è importante in un ambiente industriale. L’esposizione non si limita alla manipolazione di una pagina web o all’accesso alle informazioni dell’account. Se la sessione sottratta dispone di autorizzazioni sufficienti, l’aggressore potrebbe modificare lo stato del PLC e influenzare le apparecchiature o il processo collegato.

La vulnerabilità è stata segnalata a CISA da Rajivarnan R. e Shirshak di Secnora.

Il punteggio medio nasconde conseguenze potenzialmente fisiche

CISA ha assegnato a CVE-2026-88020 un punteggio CVSS 3.1 di 6,1, con gravità Media:

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Il vettore descrive un attacco raggiungibile dalla rete, con bassa complessità e senza privilegi necessari. Tuttavia, è richiesta l’interazione dell’utente. L’impatto indicato è limitato alla riservatezza e all’integrità, senza un effetto diretto sulla disponibilità rappresentato nel punteggio.

Con CVSS 4.0, la vulnerabilità ha ricevuto una valutazione 5,3 Media:

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:L/VI:L/VA:N/SC:L/SI:L/SA:N

Anche questa valutazione indica che un aggressore può raggiungere il componente vulnerabile attraverso la rete senza un’autorizzazione preventiva, ma deve ottenere la partecipazione dell’utente. Vengono registrati effetti limitati sulla riservatezza e sull’integrità sia del sistema vulnerabile sia dei sistemi successivi, senza un effetto sulla disponibilità incluso nel punteggio.

Il vettore CVSS 3.1 include un ambito modificato. In termini pratici, uno sfruttamento riuscito può oltrepassare il confine di sicurezza dell’applicazione web vulnerabile: i contenuti iniettati possono compromettere la sessione autenticata di un operatore e poi influenzare il controller gestito attraverso quell’interfaccia.

Un punteggio numerico medio, quindi, non definisce l’intero rischio operativo. La conseguenza finale dipende dai privilegi dell’operatore, dalla configurazione del PLC e dal processo fisico sotto controllo.

Le installazioni interessate coprono diversi settori critici

Il prodotto interessato è Autonomy Logic OpenPLC Runtime v3, con la voce nota come vulnerabile indicata in OpenPLC 3, v3 6.1. La distribuzione è globale e il vendor ha sede negli Stati Uniti.

CISA associa il prodotto a diversi settori delle infrastrutture critiche:

• Manifattura critica
• Energia
• Sistemi di trasporto
• Sistemi idrici e delle acque reflue

Un aggressore che comprometta una sessione autenticata potrebbe agire con l’autorità dell’operatore, inviare richieste per modificare lo stato del sistema e potenzialmente controllare il PLC interessato. L’impatto conseguente varierebbe considerevolmente da un’installazione all’altra.

In un ambiente di laboratorio o di test isolato, le conseguenze potrebbero rimanere limitate al controller. In un’installazione operativa, modifiche non autorizzate al PLC potrebbero alterare il processo fisico a esso collegato. Non sono state segnalate interruzioni specifiche dei processi, organizzazioni interessate o intrusioni confermate legate a questa falla.

CISA ha classificato la vulnerabilità come di gravità media secondo entrambi i sistemi di valutazione e ha riferito che, al momento della pubblicazione, non risultavano sfruttamenti pubblici noti mirati a questa vulnerabilità. Per CVE-2026-88020 non risultano voci nel catalogo CISA Known Exploited Vulnerabilities, scadenze per la remediation o indicazioni di utilizzo da parte di ransomware.

Non è stata individuata alcuna patch del vendor

Le informazioni disponibili non identificano alcuna patch fornita dal vendor, versione corretta o aggiornamento software. Le organizzazioni dovrebbero innanzitutto censire le installazioni di OpenPLC e verificare se è presente OpenPLC 3, v3 6.1.

Fino alla disponibilità di una versione corretta, i responsabili della difesa dovrebbero ridurre l’accesso all’interfaccia web di OpenPLC. L’interfaccia non dovrebbe essere direttamente raggiungibile da Internet e l’accesso dovrebbe essere limitato ai sistemi e agli utenti amministrativi autorizzati.

L’avviso sui sistemi di controllo industriale di CISA raccomanda di collocare le reti dei sistemi di controllo e i dispositivi remoti dietro firewall, separandoli dalle reti aziendali. In questo modo si riduce il numero di utenti e sistemi in grado di raggiungere l’interfaccia vulnerabile.

Quando l’accesso remoto è necessario per motivi operativi, le organizzazioni dovrebbero utilizzare percorsi di accesso protetti, come le VPN. Anche i prodotti VPN e gli endpoint che vi si connettono devono essere mantenuti aggiornati, poiché l’infrastruttura per l’accesso remoto può introdurre vulnerabilità distinte.

Ogni modifica alla rete o ai controlli di accesso dovrebbe essere sottoposta a una valutazione dell’impatto operativo prima dell’implementazione. Gli ambienti industriali possono essere soggetti a vincoli di disponibilità, tempistiche e sicurezza che rendono disruptive le modifiche difensive non testate.

Cosa dovrebbero monitorare ora i responsabili della difesa

CISA non ha pubblicato indicatori di compromissione specifici per questa vulnerabilità. I responsabili della difesa devono quindi concentrarsi sui comportamenti legati all’interfaccia web di OpenPLC, alle sessioni autenticate e alle modifiche ai controller.

Le priorità di monitoraggio includono:

• Parametri della stringa di query imprevisti o malformati diretti all’interfaccia OpenPLC.
• Richieste insolite associate alle funzioni di instradamento dei programmi.
• Azioni autenticate provenienti da sistemi o posizioni di rete sconosciuti.
• Riutilizzo di una sessione dell’operatore da più host.
• Richieste che modificano lo stato e non corrispondono ad attività di manutenzione approvate.
• Modifiche non autorizzate alla configurazione o alla logica del PLC.
• Modifiche al processo che non possono essere ricondotte all’azione di un operatore autorizzato.

Gli amministratori dovrebbero invalidare le sessioni sospette e verificare se le credenziali degli operatori o le sessioni del browser possano essere state esposte. I log degli accessi, i registri dei reverse proxy, i dati di telemetria dei firewall e la cronologia delle modifiche ai controller possono aiutare a stabilire se richieste insolite abbiano portato ad attività privilegiate.

Gli operatori dovrebbero inoltre prestare attenzione a messaggi, link e allegati non richiesti. Poiché lo sfruttamento richiede la partecipazione dell’utente, il phishing o un altro metodo di social engineering potrebbe essere utilizzato per portare un operatore autenticato a interagire con contenuti controllati dall’aggressore.

Le organizzazioni che rilevano attività dannose sospette dovrebbero seguire le proprie procedure di risposta agli incidenti e segnalarle a CISA. Le segnalazioni possono aiutare a correlare eventi isolati in diversi ambienti industriali, soprattutto mentre non è stata confermata alcuna campagna di sfruttamento pubblico.

Per il momento, le principali misure difensive sono la riduzione dell’esposizione, la segmentazione, il controllo rigoroso degli accessi remoti, il monitoraggio delle sessioni e la verifica di ogni modifica al PLC con conseguenze operative.