В контроллерах Schneider Electric выявлены опасные уязвимости

В контроллерах Schneider Electric выявлены опасные уязвимости

В контроллерах Schneider Electric выявлены опасные уязвимости

Эксперты Positive Technologies Никита Максимов, Алексей Стенников, Кирилл Чернышов, Антон Дорфман, Александр Мелких и Иван Курнаков выявили ряд уязвимостей в контроллерах компании Schneider Electric. Это оборудование применяется для обеспечения работы различных систем в аэропортах, в нефтехимической и цементной отраслях, в металлургии, энергетике, водоснабжении и в других сферах.

Уязвимости выявлены в контроллерах Modicon Premium, Modicon Quantum, Modicon M340 и Modicon BMXNOR0200.

«Наличие этих уязвимостей на критически важных производственных объектах повышает риск нарушения непрерывности технологических процессов, аварий, мошенничества и других неприятных последствий», — отмечает руководитель отдела безопасности промышленных систем управления Positive Technologies Владимир Назаров.

Наиболее опасная уязвимость (CVE-2018-7760, оценка 7,7 по шкале CVSS) была опубликована в уведомлении Schneider Electric от 22 марта. Она позволяет атакующему с помощью CGI-запросов обойти механизм авторизации на встроенном веб-сервере перечисленных контроллеров. Вторая уязвимость CVE-2018-7761 (оценка 7,3) дает возможность выполнить произвольный код на веб-сервере контроллеров линейки BMXNOR0200. Еще две уязвимости, CVE-2018-7759 и CVE-2018-7762, с оценкой 5,9, позволяют переполнить буфер, что может привести к отказу в облуживании; им подвержены все упомянутые ПЛК.

Кроме того, Schneider Electric выпустила второе уведомление, в котором описывались три другие уязвимости, обнаруженные специалистами Positive Technologies. Два недостатка получили оценку 5,9. Первая уязвимость CVE-2018-7241 связана с наличием жестко закодированных учетных записей на контроллерах.  Во втором случае уязвимость CVE-2018-7242 связана со слабым алгоритмом хеширования пароля. В результате алгоритм, используемый для шифрования пароля, подвержен коллизиям, что может помочь злоумышленнику подобрать пароль.

Третья уязвимость CVE-2018-7240 (оценка 4,8) позволяет получить несанкционированный доступ к файловой системе, однако ей подвержены только контроллеры серии Modicon Quantum. Команда FTP для обновления прошивки модуля может быть использована неправильно, что позволяет атакующему вызвать отказ контроллера или загрузить вредоносную прошивку.

Закупки ИБ-решений выросли в 2025 году на 10%

По итогам 2025 года общий объём закупок в сфере информационной безопасности вырос на 9,3% и достиг 191,7 млрд рублей. Ключевым фактором роста стало укрупнение и усложнение контрактов. При этом количество сделок увеличивалось быстрее, чем рынок в денежном выражении: за год было завершено 51,3 тыс. закупок против 44,1 тыс. в 2024 году.

Такую статистику приводит «Коммерсантъ» со ссылкой на аналитиков СКБ Контур.

Самый быстрый рост показал сегмент небольших сделок на сумму до 600 тыс. рублей — их количество увеличилось почти на треть. Всего на такие закупки пришлось около 23 тыс. процедур общим объёмом 4,23 млрд рублей.

Основной вклад в рост обеспечил коммерческий сегмент, где количество сделок увеличилось на 14%. В то же время число процедур по 44-ФЗ и 223-ФЗ в целом осталось на уровне предыдущего года.

В денежном выражении динамика выглядит менее однозначной. Объём закупок по 44-ФЗ вырос на 12,6% — до 128,19 млрд рублей, по 223-ФЗ — на 20,6%, до 45,83 млрд рублей. Увеличилась и средняя стоимость контрактов: по 44-ФЗ — с 9,19 млн до 10,23 млн рублей, по 223-ФЗ — с 8,31 млн до 9,84 млн рублей. При этом в коммерческом сегменте зафиксировано снижение — с 21,33 млрд до 13,40 млрд рублей.

«При относительно стабильном числе закупок по 44-ФЗ и 223-ФЗ общий объём рынка и средняя цена контракта заметно выросли, что указывает на смещение спроса в сторону более дорогих и комплексных решений. На динамику также влияет применение национального режима в закупках, который меняет состав лотов и требования к приобретаемым решениям», — отметил заместитель руководителя продуктовой группы «Контур.Эгида» и Staffcop Юрий Драченин.

По его словам, ключевой причиной такой динамики стало укрупнение лотов: заказчики всё чаще объединяют в рамках одной закупки сами решения и услуги по их внедрению, интеграции и поддержке.

Директор по продуктовой стратегии UserGate Иван Чернов отметил, что заказчикам удобнее приобретать комплексное решение у одного поставщика, поскольку это упрощает логистику и последующее обслуживание.

Снижение темпов роста рынка представитель UserGate объяснил следующим образом: «На мой взгляд, к 2026 году рынок ИБ успокоился после взрывного роста прошлых лет. Его более плавная динамика сегодня отчасти связана с инфляцией и доразвитием проектов, запущенных ранее».

Коммерческий директор компании «Код Безопасности» Фёдор Дбар охарактеризовал текущие темпы как «умеренные». По его оценке, рынок вошёл в фазу стабилизации и возвращается к привычным темпам роста — порядка 10–15% в год.

В 2026 году, по мнению заместителя генерального директора ГК «Гарда» Рустэма Хайретдинова, также не стоит ожидать высоких темпов роста рынка. Исключением могут стать лишь отдельные нишевые сегменты.

RSS: Новости на портале Anti-Malware.ru