Rockwell Automation

A empresa Forescout identificou 22 controladores lógicos programáveis (PLCs) da Rockwell Automation expostos à internet em cidades afetadas por recentes ataques cibernéticos a serviços de água nos Estados Unidos. A análise revelou que, globalmente, existem 4.407 controladores Rockwell expostos, sendo 2.844 apenas nos EUA. Embora não tenha sido confirmado que esses dispositivos foram comprometidos, os atacantes conseguiram alterar endereços IP e senhas, resultando na perda de visibilidade e controle por parte dos operadores. A FBI e a EPA alertaram sobre incidentes em pelo menos sete estados desde 27 de julho, mas a atribuição dos ataques ainda não foi feita. A Forescout destacou que mais de 70% dos controladores expostos estão em grandes redes de operadoras móveis. A exposição do EtherNet/IP na porta 44818 permite que atacantes identifiquem controladores ou alterem configurações. A vulnerabilidade CVE-2017-16740, que afeta dispositivos MicroLogix 1400, foi mencionada, mas a Forescout não pôde verificar se estava habilitada nos dispositivos analisados. A recomendação é retirar os controladores da internet pública e implementar autenticação forte e atualizações de firmware.

Hackers vinculados ao Irã têm como alvo redes de infraestrutura crítica dos EUA, focando em controladores lógicos programáveis (PLCs) da Rockwell Automation. Um aviso conjunto de agências federais dos EUA revelou que esses ataques, que começaram em março de 2026, resultaram em interrupções operacionais e perdas financeiras significativas. A atividade maliciosa inclui a extração de arquivos de projeto e manipulação de dados em displays HMI e SCADA. A empresa de cibersegurança Censys identificou que 74,6% dos mais de 5.200 sistemas de controle industrial expostos online são de origem americana, com 3.891 dispositivos vulneráveis. Para mitigar esses riscos, recomenda-se que os defensores de rede utilizem firewalls, desconectem os PLCs da Internet e implementem autenticação multifatorial. Essa campanha de ataques segue um padrão de ações semelhantes de grupos de hackers iranianos, que anteriormente comprometeram sistemas de tecnologia operacional nos EUA. A crescente escalada das campanhas de ataque está ligada a tensões geopolíticas entre o Irã, os EUA e Israel.

A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) incluiu duas vulnerabilidades críticas no catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV), afetando produtos da Hikvision e da Rockwell Automation. A primeira, CVE-2017-7921, com uma pontuação CVSS de 9.8, refere-se a uma falha de autenticação inadequada em diversos produtos da Hikvision, permitindo que um usuário malicioso eleve privilégios e acesse informações sensíveis. A segunda, CVE-2021-22681, também com pontuação 9.8, diz respeito a credenciais insuficientemente protegidas em produtos da Rockwell, permitindo que um usuário não autorizado contorne mecanismos de verificação e altere configurações. A CISA recomenda que agências federais atualizem seus softwares até 26 de março de 2026, enfatizando que essas vulnerabilidades são vetores frequentes de ataque e representam riscos significativos. Embora a CVE-2017-7921 tenha sido associada a tentativas de exploração, não há relatos públicos sobre ataques relacionados à CVE-2021-22681. A CISA alerta que todas as organizações devem priorizar a remediação dessas vulnerabilidades como parte de suas práticas de gerenciamento de vulnerabilidades.

A Rockwell Automation revelou uma vulnerabilidade crítica que afeta diversos módulos de comunicação Ethernet ControlLogix, potencialmente expondo sistemas de controle industrial a ataques de execução remota de código. Identificada como CVE-2025-7353, a falha possui uma pontuação CVSS 3.1 de 9.8, indicando um risco severo para a infraestrutura de tecnologia operacional. A vulnerabilidade decorre de um agente de depuração baseado na web (WDB) que permanece habilitado por padrão em dispositivos de produção, permitindo que atacantes realizem operações não autorizadas na memória, como dumps de memória e modificações diretas. O vetor de ataque requer acesso à rede, mas não exige autenticação ou interação do usuário, o que a torna especialmente perigosa em ambientes industriais. A Rockwell recomenda que as organizações atualizem o firmware para a versão 12.001 para mitigar os riscos. Para ambientes onde a aplicação imediata de patches é desafiadora, a segmentação de rede e listas de controle de acesso são sugeridas como medidas provisórias. A descoberta da vulnerabilidade destaca a necessidade de práticas robustas de segurança cibernética em setores críticos.