報導摘要

美國網路安全暨基礎設施安全局（CISA）於近期發布一系列工業控制系統（ICS）安全公告，詳細揭露了多家全球頂尖廠商產品中的嚴重漏洞。這份涵蓋三菱電機（Mitsubishi Electric）、施耐德電機（Schneider Electric）、台達電子（Delta Electronics）、奇異維諾瓦（GE Vernova）及日立能源（Hitachi Energy）等公司的報告，指出這些漏洞的性質從未經身分驗證的存取到遠端程式碼執行（RCE）不等，影響範圍橫跨關鍵製造、能源、交通運輸與通訊等產業。這份報告不僅凸顯了工業網路基礎設施所面臨的嚴峻風險，也再次強調了主動式漏洞管理與防禦縱深（Defense-in-Depth）策略在保護工業環境中的關鍵作用。

CISA報告背景與漏洞概覽

CISA此次發布的公告並非單一事件，而是針對多個產品與系統的綜合性資安警報，其發布時機與內容的廣泛性，體現了工業控制系統資安威脅的持續演進與複雜性。報告指出，這些漏洞的共同點在於，它們多數存在於產品的關鍵功能中，且利用難度相對較低，使得駭客即便只具備基本的網路知識，也能夠對營運技術（OT）環境發動具備高度破壞性的攻擊。

一、三菱電機（Mitsubishi Electric）系統漏洞詳解

CISA針對三菱電機的MELSEC iQ-F系列CPU模組發布了兩份獨立的資安公告。這款產品廣泛應用於工業自動化與製造業，其漏洞影響尤其值得關注。

1. 關鍵功能缺乏身分驗證（Missing Authentication for Critical Function）：

   • 漏洞類別： CVE-2025-7405

   • CVSS評分： CVSS v4 6.9分

   • 技術細節： 該漏洞源於MELSEC iQ-F系列CPU模組的MODBUS/TCP通訊協定，其在執行讀取或寫入設備數值、甚至停止程式運作等關鍵功能時，並未要求進行身分驗證。這使得任何能夠連線至網路的惡意行為者，都能夠在沒有任何憑證的情況下，對PLC（可程式邏輯控制器）進行未經授權的操作。

   • 潛在威脅： 攻擊者可以讀取或修改PLC的運行參數，造成生產線的混亂或錯誤，更甚者可以強制停止生產流程，導致設備受損或生產中斷，對製造業造成巨大的經濟損失。

2. 多個FA工程軟體產品漏洞：

   • 技術細節： 報告同時指出，三菱電機的多款FA工程軟體產品也存在韌體與軟體缺陷，這些漏洞可能允許駭客繞過身分驗證機制。

   • 潛在威脅： 一旦身分驗證被繞過，駭客就能夠以高權限用戶的身分進入系統，進行惡意設定或植入後門，為後續的長期控制打下基礎。

二、施耐德電機（Schneider Electric）系統漏洞詳解

施耐德電機的Saitel DR與Saitel DP遠端終端單元（RTUs）是此次報告中的重點之一。這些RTUs是能源、公用事業與交通等關鍵基礎設施的骨幹，其漏洞風險不容忽視。

1. 不當的權限管理（Improper Privilege Management）：

   • 漏洞類別： CVE-2025-8453

   • CVSS評分： CVSS v3 6.7分

   • 技術細節： 該漏洞允許已通過身分驗證的工程師用戶，透過篡改配置文件來提升其在系統中的權限。

   • 潛在威脅： 儘管攻擊需要初始的身分驗證，但如果駭客能夠竊取到工程師用戶的帳號密碼（例如透過釣魚攻擊或弱密碼），他們便能利用此漏洞取得更高的控制權限，進而執行可能導致服務中斷或系統完全癱瘓的惡意操作。

三、台達電子（Delta Electronics）系統漏洞詳解

CISA的報告也提及台達電子在工業自動化領域的產品所面臨的威脅，特別是COMMGR與DIAView系統。

1. 不當的身分驗證：

   • 技術細節： 台達的COMMGR軟體在通訊管理功能中，存在身分驗證不足的問題，使得攻擊者可以輕易地對ICS環境中的通訊功能進行操控。

   • 潛在威脅： 駭客可能利用此漏洞來執行任意程式碼，篡改生產資料或通訊指令，造成生產數據的失真與錯誤，進而影響決策判斷，甚至導致物理世界的設備失控。

2. 路徑限制不當（Improper Restriction of a Pathname）：

   • 技術細節： 台達的DIAView工業自動化管理系統（版本4.2.0.0）存在路徑名限制不當的漏洞，該漏洞可能會被駭客利用來存取受限目錄。

   • 潛在威脅： 成功的路徑遍歷攻擊可能允許攻擊者讀取、寫入或修改系統文件，進而繞過安全機制，取得系統控制權。

四、奇異維諾瓦（GE Vernova）系統漏洞詳解

針對奇異維諾瓦的CIMPLICITY SCADA平台，CISA也發布了專屬公告，這款產品是許多關鍵基礎設施監控與數據採集的核心。

1. 不受控的搜尋路徑元素（Uncontrolled Search Path Element）：

   • 漏洞類別： CVE-2025-7719

   • CVSS評分： CVSS v4 7.0分

   • 技術細節： 此漏洞存在於CIMPLICITY SCADA平台中，特別影響2024、2023、2022和11.0等版本。報告指出，該系統的預設配置過於寬鬆，且存取控制薄弱，使得一個低權限的攻擊者也能夠利用不受控的搜尋路徑元素來提升其權限。

   • 潛在威脅： 攻擊者一旦獲得更高權限，就能夠繞過正常的存取控制，對SCADA系統進行惡意操作，包括篡改數據、關閉系統、或發動拒絕服務攻擊，直接威脅到工業營運的穩定性與安全性。

五、日立能源（Hitachi Energy）系統漏洞詳解

日立能源的Relion 670/650與SAM600-IO系列保護繼電器和I/O模組也未能倖免，CISA的報告揭露了其在多個層面的資安弱點。

1. 不當的檢查與認證漏洞：

   • 漏洞類別： CVE-2025-1718

   • CVSS評分： CVSS v4 7.1分

   • 技術細節： 該漏洞允許已通過FTP驗證的用戶，可以觸發設備重啟。

   • 潛在威脅： 雖然攻擊需要初始的FTP憑證，但惡意行為者可以利用這個漏洞來發動拒絕服務（DoS）攻擊，造成設備的非預期重啟與服務中斷。此外，報告也指出其他漏洞，例如緩衝區溢位、身分驗證不足、硬編碼密碼等，這些漏洞的組合可能使駭客全面控制設備，甚至竊取敏感資料。

企業應立即採取的應對與防禦措施

面對如此嚴峻的工業網路資安挑戰，CISA與各廠商強烈建議，工業界應立即採取以下行動，以減輕風險並保護營運：

1. 即時修補與更新： 首要任務是依據CISA發布的資安公告與廠商提供的補丁，立即對所有受影響的系統進行修補。對於無法即時更新的系統，應考慮實施臨時的緩解措施。

2. 網路隔離與存取控制：

   • 實施網路分割： 將ICS/OT網路與企業IT網路完全隔離，避免IT網路的資安事件擴散至工業控制系統。

   • 嚴格的存取控制： 透過防火牆、虛擬私人網路（VPN）或單向閘道器（one-way gateway），限制只有經過授權的IP位址與用戶才能存取工業控制系統的管理介面與設備。

   • 最小權限原則： 確保每個用戶與服務都只擁有執行其職責所需的最低權限。

3. 監控與審核：

   • 持續監控異常行為： 部署網路流量監控與入侵偵測系統，以即時發現任何來自ICS網路的異常通訊或惡意行為。

   • 定期審核日誌： 定期審核所有設備與系統的存取日誌與事件記錄，以追蹤可能的入侵跡象或未經授權的操作。

4. 縱深防禦策略（Defense-in-Depth）：

   • 多層次防護： 除了網路隔離，還應在不同層次部署多種資安控制措施，例如端點保護、入侵防禦系統、安全組態管理等。

   • 人為因素： 加強員工的資安意識培訓，尤其是那些負責管理與操作ICS設備的技術人員，讓他們了解網路釣魚、社交工程等攻擊手法。

結論與展望

CISA此次發布的ICS漏洞報告，為全球工業界敲響了警鐘。它不僅揭示了單一漏洞的威脅，更反映出工業控制系統在設計與部署階段可能存在的資安盲點。這些漏洞的共同特徵，例如缺乏身分驗證、權限管理不當等，顯示出 ICS 資安防護仍有巨大提升空間。

隨著工業4.0與物聯網的發展，IT與OT環境的融合成為不可逆的趨勢。這使得 ICS 不再是過去封閉、與世隔絕的系統，而是更容易受到網路攻擊的目標。因此，主動式的漏洞管理、嚴格的網路隔離與縱深防禦策略，將是保護關鍵基礎設施的唯一出路。企業必須將資安防護視為與生產效率同樣重要的核心競爭力，才能在數位轉型的浪潮中，確保營運的韌性與安全。

資料來源：https://industrialcyber.co/cisa/cisa-reports-critical-ics-vulnerabilities-across-mitsubishi-schneider-delta-ge-vernova-hitachi-energy-systems/