Positive Technologies помогла исправить 17 уязвимостей в популярной российской SCADA-системе
Компания "Каскад-АСУ" поблагодарила экспертов PT SWARM за обнаружение 17 уязвимостей в двух компонентах SCADA-системы1 "КАСКАД", которая применяется в различных отраслях промышленности, энергетике и ЖКХ. Эксперты выявили уязвимости, несущие угрозу системам АСУТП, спроектированным без должного внимания к обеспечению безопасности и разделению информационных и промышленных сетей. В случае успешной эксплуатации уязвимости нарушитель, обладающий специальными знаниями в соответствующих областях, мог внести изменения в систему "верхнего" уровня управления технологическими процессами — со всеми вытекающими последствиями. Разработчик был уведомлен об угрозе в рамках политики ответственного разглашения и выпустил обновление, устраняющее уязвимости.
"Каскад-АСУ" поставляет свои решения более чем в 15 стран мира, в том числе в Беларусь, Азербайджан, Казахстан и Индию. Разработанная компанией SCADA-система "КАСКАД" предназначена для построения автоматизированных систем управления технологическими процессами (АСУ ТП). На данный момент установлено уже более 10 000 лицензий.
Разработчики "Каскад-АСУ" переработали алгоритмы сетевого взаимодействия компонентов системы и внедрили новые механизмы защиты. Теперь организациям, использующим компоненты KWebVision или KLogic, необходимо установить дистрибутив "КАСКАД" версии 8.3.1, доступный с 14 апреля 2026 года (пресс-релиз на эту тему на сайте ООО "Каскад-АСУ").
1 Программно-аппаратный комплекс, предназначенный для организации сбора данных в реальном времени, диспетчерского контроля и автоматизации технологических процессов.
Уязвимые компоненты были обнаружены в SCADA-системе КАСКАД версии 8.3. Дефектам безопасности в модуле веб-визуализации KWebVision (BDU:2026-01678–BDU:2026-01682) была присвоена оценка 8,7–9,3 балла из 10 по шкале CVSS 4.0. Уязвимости были найдены также и в службе виртуального контроллера KLogic (BDU:2026-01676–BDU:2026-01677, BDU:2026-01683–BDU:2026-01692) и получили оценку 6,9–9,4 балла. Недостатки обнаружили эксперты Positive Technologies Максим Грузин2, Иван Курнаков, Кирилл Чернышов, Арсений Григорьев, Алексей Каримов, Илья Бублий, Алена Бондарь, Илья Рогачев и Владимир Назаров.
2 Сотрудник Positive Technologies на момент обнаружения уязвимостей.
Успешная эксплуатация уязвимостей в модуле KWebVision могла позволить атакующему перехватить доступ к графическому интерфейсу SCADA-системы и фактически выполнять роль оператора. Используя уязвимости в KLogic, злоумышленник мог получить доступ к исполнительной системе3, выполняемой в виде виртуального контроллера4 на серверах и рабочих станциях, контролирующих технологический процесс.
3 Исполнительная система — целевая задача, записываемая в контроллер.
4 Виртуальный контроллер — служба, исполняемая в среде операционной системы, и эмулирующая работу ПЛК — устройства в составе АСУ ТП, используемого для автоматизации технологических процессов.
"До устранения уязвимостей под угрозой могли оказаться организации, эксплуатирующие SCADA-систему КАСКАД версии 8.3 в составе АСУ ТП. Чтобы проэксплуатировать уязвимости, нарушителю достаточно было иметь сетевой доступ к уязвимым компонентам KWebVision или исполнительной системе KLogic. Все недостатки могли быть использованы независимо друг от друга. При этом также была возможность последовательного использования брешей в KLogic. Так, проэксплуатировав BDU:2026-01686 или BDU: 2026-01687 атакующий мог похитить хеши пользователей, а затем применить их для прохождения аутентификации и получения доступа к исполнительной системе контроллера за счет BDU:2026-01683".
Чтобы снизить риски подобных уязвимостей, эксперты Positive Technologies рекомендуют ограничить доступ к компонентам SCADA-системы из внешней и корпоративной сетей, использовать межсетевые экраны, а также решения для мониторинга трафика в технологических сетях и обнаружения в нем аномалий.
Это не первый случай в 2026 году, когда специалисты Positive Technologies помогли усилить безопасность системы для промышленной автоматизации. Так, в мае Сергей Федонин и Иван Курнаков обнаружили в ПЛК Delta Electronics серии AS300 бреши PT-2026-34853, PT-2026-34858, PT-2026-34860 и PT-2026-34859 с критически высокой степенью риска. Успешная эксплуатация уязвимостей могла привести к финансовым и репутационным потерям предприятия.
Попытки эксплуатации подобных уязвимостей могут быть зафиксированы с помощью системы обеспечения киберустойчивости промышленных инфраструктур PT Industrial Security Incident Manager (PT ISIM). Кроме того, попытки воспользоваться дефектами безопасности эффективно обнаруживают продвинутые продукты классов NTA (NDR), такие как PT Network Attack Discovery (PT NAD), а продукты класса NGFW, например PT NGFW, еще и блокируют их.
Быть в курсе актуальных недостатков безопасности можно на портале dbugs, где аккумулируются данные об уязвимостях в ПО и оборудовании производителей со всего мира, а также рекомендации вендоров по их устранению.