美國 CISA 對工業控制系統（ICS）發出緊急安全警報

美國網路安全和基礎設施安全局 (CISA) 週二發布了五項新的工業控制系統 (ICS) 安全公告，詳細說明了影響關鍵基礎設施設施的當前漏洞、攻擊手段和安全問題。CISA 敦促資產所有者和管理員查閱這些公告，以獲取技術資訊和建議的緩解措施。

這五項公告涵蓋了廣泛應用於製造業、交通運輸和氣象服務等關鍵領域的硬體和軟體產品，凸顯出 ICS 環境中長期存在的安全脆弱性。許多工業系統因設計時未將網路安全作為首要考量，且生命週期長，使得修補過程複雜且緩慢，成為惡意行為者眼中極具吸引力的目標。

 

富士電機：人機介面配置軟體的緩衝區溢位風險

該機構揭露了影響富士馬達 Monitouch V-SFT-6、Survision 車牌識別攝影機、台達電子 CNCSoft-G2、Radiometrics VizAir和 IDIS ICM Viewer 系統的硬體漏洞。CISA 在其首份安全公告中警告稱：富士馬達 Monitouch V-SFT-6 有二個漏洞，分別是人機介面 (HMI) 配置軟體 6.2.7.0 版本存在基於堆疊和基於堆疊的緩衝區溢位漏洞，漏洞的編號為 CVE-2025-54496，CVSS v3.1 基本評分為 7.8，CVSS v4 基本評分為 8.4。另一個漏洞是 Monitouch V-SFT-6 晶片在處理特製的專案檔案時存在基於堆疊的緩衝區溢位漏洞，漏洞的 CVE 編號是 CVE-2025-54526，其 CVSS v3.1 基本評分為 7.8，CVSS v4 基本評分為 8.4。

這些漏洞影響全球關鍵製造業，惡意建構的專案檔案可能導致基於堆疊的緩衝區溢出，攻擊者可以利用此漏洞執行任意程式碼。富士馬達在 10 月發布的版本（V-SFT V6.2.8.0）中解決了這些漏洞，並建議用戶更新到 V6.2.9.0 或更高版本。 緩衝區溢位攻擊是工業控制系統中常見的威脅類型，通常可以讓攻擊者執行任意程式碼，進而接管 HMI，干擾或破壞生產線。

 

Survision：車牌識別攝影機的身份驗證漏洞

CISA 報告稱，Survision 公司的車牌識別 (LPR) 攝影機存在身份驗證漏洞，漏洞編號為 CVE-2025-12108，其 CVSS v3.1 基本評分為 9.8，CVSS v4 基本評分為 9.3。成功利用此漏洞可能允許攻擊者在無需身份驗證的情況下完全訪問系統，Survision 公司發布了車牌識別（LPR）攝影機的 3.5 版韌體，並建議用戶透過在用戶管理系統中定義權限最低的用戶和角色來啟用配置密碼驗證。 CVSS 評分接近滿分，表明此漏洞極為容易被利用且後果嚴重，可能導致重要交通或安全監控系統的完全控制權喪失。

 

台達電子：CNCSoft-G2 程式編輯軟體的風險

在另一份安全公告中，CISA 揭露台達電子的 CNCSoft-G2 軟體存在基於堆疊的緩衝區溢位漏洞，影響版本 2.1.0.27 及更早版本。此漏洞已被分配 CVE 編號 CVE-2025-58317，其 CVSS v3.1 基本評分為 7.8，CVSS v4 基本評分為 8.5。台達電子建議 CNCSoft-G2 用戶下載並更新至 2.1.0.34 或更高版本。 數控（CNC）系統在製造業中至關重要，CNCSoft-G2 用於編輯 CNC 程式，若遭攻擊者利用，可能導致製造流程被竄改，造成產品缺陷甚至設備損壞。

該公告還包含一些安全建議，敦促用戶不要點擊不可信的互聯網鏈接或打開未經請求的電子郵件附件，避免將控制系統和設備暴露在互聯網上，應將此類系統置於防火牆後並將其與企業網絡隔離，並在需要遠端訪問時使用安全的訪問方式，例如虛擬專用網絡 (VPN) 。 這些建議強調了工業網路應採用縱深防禦（Defense-in-Depth）策略，尤其要避免控制系統的直接網路暴露。

 

Radiometrics VizAir：機場氣象系統的災難級漏洞

CISA 在另一份安全公告指出 Radiometrics 的 VizAir 系統存在「關鍵功能缺少身分驗證」和「憑證保護不足」漏洞，影響 2025 年 8 月之前發布的所有版本，成功利用這些漏洞可能使攻擊者能夠操縱關鍵天氣參數和跑道設置，誤導空中交通管制和飛行員，竊取敏感氣象數據，並對機場運營造成重大干擾，導致危險的飛行條件。

Radiometrics 的 VizAir 的第一個漏洞使任何遠端攻擊者無需身份驗證即可存取 VizAir 系統的管理面板，此漏洞編號為 CVE-2025-61945 ，其 CVSS v3.1 基本評分為 10.0， CVSS v4 基本評分也為 10.0。第二個漏洞編號是 CVE-2025-54863 編號，其 CVSS v3.1 基本評分為 10.0 ，CVSS v4 基本評分也為 10.0。這個漏洞是其系統 REST API 金鑰可能透過公開的設定檔洩露。攻擊者可利用此漏洞遠端篡改天氣數據和配置，自動攻擊多個實例，並竊取敏感氣象數據，可能危及機場運作。表示這二個均屬於嚴重漏洞。

Radiometrics VizAir 的第三個漏洞其關鍵功能（例如管理員存取和 API 請求）缺乏身份驗證機制。攻擊者無需身份驗證即可修改配置，從而可能操縱跑道設置，誤導空中交通管制 (ATC) 和飛行員。此漏洞已被分配 CVE-2025-61956 編號，其 CVSS v3.1 和 CVSS v4 基本評分均為 10.0，這三個漏洞的 CVSS 值均為 10.0，顯示其嚴重性極高。

這三個 CVSS 滿分 10.0 的漏洞對航空安全構成極端威脅。VizAir 系統負責提供跑道能見度等關鍵氣象數據給空中交通管制員和飛行員，攻擊者若能遠端篡改數據，可能導致航班延誤、取消，甚至危及生命安全的飛行事故。系統對關鍵功能缺乏身份驗證和 API 金鑰暴露的問題，是典型的「設計缺陷」型漏洞。

 

IDIS：ICM Viewer 遠端執行漏洞

CISA 在其最終公告中披露，IDIS ICM Viewer 1.6.0.10 版本存在參數注入漏洞，該漏洞由命令中參數分隔符處理不當引起，成功利用此漏洞可能導致攻擊者執行任意程式碼。此漏洞已被分配 CVE-2025-12556 編號，其 CVSS v3 基本評分為 8.8，CVSS v4 基本評分為 8.7，顯示其嚴重性極高。IDIS 建議 ICM Viewer 使用者造訪其網站並依照提供的說明昇級至 1.7.1 版本。 ICM Viewer 用於監控系統，參數注入可能使攻擊者在執行監控軟體的終端上執行任意程式碼，將監控系統轉變為攻擊者進入企業網路的跳板。

 

即時緩解行動

CISA 的五項 ICS 安全公告揭示了從 HMI 軟體到關鍵機場控制系統等一系列工業設備和應用程式中普遍存在的嚴重漏洞。特別是 VizAir 系統的三個 CVSS 滿分漏洞，對公共安全和關鍵服務的威脅等級已達到最高。所有受影響的資產所有者必須立即採取行動，遵循供應商的修補建議：富士馬達用戶更新至 V6.2.9.0+；Survision 用戶更新韌體至 3.5+；台達電子用戶更新 CNCSoft-G2 至 2.1.0.34+；IDIS 用戶更新 ICM Viewer 至 1.7.1+，並對所有 ICS 環境實施嚴格的網路分區和訪問控制，以抵禦這些主動威脅。

資料來源：https://industrialcyber.co/cisa/critical-flaws-in-fuji-electric-delta-electronics-survision-radiometrics-idis-systems-raise-security-concerns-for-industrial-sector/