Lưu ý: Dữ liệu này chỉ có tính chất tham khảo, phục vụ nghiên cứu an ninh mạng.CyStack khuyến nghị người dùng không sử dụng các thông tin này nhằm các mục đích bất hợp pháp
Lỗ hổng CVE-2026-27565 là lỗ hổng Improper Neutralization of Special Elements used in an OS Command ảnh hưởng tới ICE2-8IOL1-G65L-V1D (phiên bản bị ảnh hưởng: 1.0.0 – < 1.7.4), ICE2-8IOL-G65L-V1D (phiên bản bị ảnh hưởng: 1.0.0 – < 1.7.4), ICE2-8IOL-K45P-RJ45 (phiên bản bị ảnh hưởng: 1.0.0 – < 1.7.4) và 12 sản phẩm khác. Lỗ hổng này được xếp hạng ở mức Nghiêm trọng, với điểm CVSS 9.8. Các nguồn hiện có chưa ghi nhận lỗ hổng này bị khai thác.
Kẻ tấn công từ xa không cần xác thực có thể tải lên một tệp IODD độc hại, tệp này đặt và thực thi một shell script với quyền root. Shell script vẫn hoạt động ngay cả sau khi khởi động lại.
Bản ghi chuẩn hóa đánh dấu các sản phẩm sau bị ảnh hưởng với mục 1.0.0 và giới hạn phiên bản <1.7.4 theo semver:
ICE2-8IOL1-G65L-V1D, ICE2-8IOL-G65L-V1D, ICE2-8IOL-K45P-RJ45, ICE2-8IOL-K45S-RJ45, ICE3-8IOL1-G65L-V1D, ICE3-8IOL-G65L-V1D, ICE3-8IOL-G65L-V1D-Y, ICE3-8IOL-K45P-RJ45, ICE3-8IOL-K45S-RJ45.IOL MA8 PN DI8, IOL MA8 EIP DI8 với firmware <1.7.4.YL212CEI8M1IO, YN115CEI8RPIO, YL212CPN8M1IO, YN115CPN8RPIO với firmware <1.7.4.Các nguồn tư vấn của CERT@VDE xác nhận cùng phạm vi firmware dưới 1.7.4 cho ba nhóm nhà cung cấp. Tình trạng của các phiên bản từ 1.7.4 đến trước 1.7.8 không được bằng chứng hiện có xác nhận là an toàn hoặc đã sửa.
Lỗ hổng nằm trong quá trình xử lý tệp IODD do kẻ tấn công cung cấp. Tệp IODD độc hại có thể khiến thiết bị đặt và thực thi một shell script với quyền root, phù hợp với lớp lỗi CWE-78, OS Command Injection. Việc khai thác có thể thực hiện từ xa qua mạng mà không cần xác thực hoặc tương tác của người dùng. Shell script vẫn hoạt động sau khi thiết bị khởi động lại, cho thấy mã độc có cơ chế duy trì tồn tại. Các nguồn công khai chưa xác định parser chính xác, lệnh gọi shell, vị trí lưu tệp, cơ chế persistence hoặc endpoint cụ thể bị lỗi.
Lỗ hổng có thể bị truy cập qua mạng. Kẻ tấn công không cần xác thực, không cần người dùng tương tác và điều kiện khai thác được đánh giá là đơn giản theo dữ liệu CVE được cung cấp. Bản ghi cung cấp đánh dấu public_exploit là false và trạng thái known_exploited là null; metadata được tra cứu từ GCVE hiển thị trạng thái exploitation là none. Các trạng thái này không chứng minh rằng không có hoạt động khai thác chưa được quan sát hoặc chưa được báo cáo.
Kết quả kỹ thuật trực tiếp là thực thi mã tùy ý với quyền root trên thiết bị bị ảnh hưởng. Điều này có thể dẫn đến thay đổi trái phép đối với trạng thái và tính toàn vẹn của thiết bị, đọc dữ liệu nhạy cảm và làm gián đoạn tính sẵn sàng của thiết bị. Shell script tiếp tục hoạt động sau reboot, làm tăng khả năng duy trì quyền kiểm soát hoặc hành vi trái phép. Phạm vi ảnh hưởng được chứng minh là thiết bị bị lỗi; dữ liệu hiện có không xác nhận việc lan sang hệ thống khác hoặc một vụ xâm nhập cụ thể.
Khai thác thành công có thể làm mất tính toàn vẹn của thiết bị vì mã tùy ý được thực thi với quyền root. Kẻ tấn công có thể duy trì mã độc qua lần khởi động lại và có khả năng thay đổi hoạt động hoặc cấu hình của thiết bị. Quyền thực thi cao cũng có thể cho phép truy cập dữ liệu nhạy cảm trên thiết bị và gây gián đoạn chức năng điều khiển hoặc giám sát. Bằng chứng hiện có không xác định một vụ xâm nhập, nạn nhân hay tác động lan sang hệ thống khác.
1.7.8 cho các thiết bị bị ảnh hưởng. Đây là phiên bản remediation được các tư vấn CERT@VDE nêu cho Pepperl+Fuchs, Phoenix Contact và Carlo Gavazzi Automation.1.7.4 là phiên bản sửa lỗi chỉ vì phạm vi ảnh hưởng được ghi là <1.7.4; bằng chứng hiện có chỉ nêu khuyến nghị cập nhật lên 1.7.8.Giải pháp CyStack VulnScan liên tục phát hiện tài sản, xác minh lỗ hổng và giúp đội ngũ bảo mật ưu tiên khắc phục cho toàn bộ doanh nghiệp.
vi
