Schneider Electric informuje o nowych podatnościach w swoich produktach. (P26-355)

Produkt	EcoStruxure™ IT Data Center Expert – wersje 9.1.2 i starsze
Numer CVE	CVE-2026-8044
Krytyczność	7.2/10
CVSS	AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
Opis	Istnieje luka w zabezpieczeniach polegająca na nieprawidłowej neutralizacji ograniczników argumentów w poleceniu („wstrzykiwaniu argumentów”), która może spowodować zdalne wykonanie kodu przez atakującego z kontem uprzywilejowanym, gdy złośliwe argumenty zostaną podane jako zapasowe parametry konfiguracji.

Numer CVE	CVE-2026-19233
Krytyczność	7.2/10
CVSS	AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
Opis	Istnieje luka w zabezpieczeniach SSRF (Server-Side Request Forgery), która może spowodować nieautoryzowane wykonanie polecenia i ujawnienie danych serwera, gdy atakujący z kontem uprzywilejowanym wyśle spreparowane, niezweryfikowane parametry do punktu końcowego serwera.

Aktualizacja	TAK
Link	https://download.se.com/files?p_Doc_Ref=SEVD-2026-251-01&p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2026-251-01.pdf

Produkt	PowerLogic T300 – wersje 2.9.8-5620 i starsze
Numer CVE	CVE-2026-77120
Krytyczność	8.2/10
CVSS	AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
Opis	Istnieje luka w zabezpieczeniach polegająca na nieprawidłowej neutralizacji elementów specjalnych używanych w poleceniu systemu operacyjnego („wstrzyknięcie polecenia systemu operacyjnego”), która może spowodować eskalację uprawnień do poziomu roota i nieautoryzowane wykonywanie funkcji administracyjnych, gdy uwierzytelniony użytkownik z włączonym protokołem SSH wchodzi w interakcję z konsolą systemu operacyjnego, która nieprawidłowo przetwarza dane wejściowe kontrolowane przez użytkownika.

Aktualizacja	TAK
Link	https://download.se.com/files?p_Doc_Ref=SEVD-2026-251-02&p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2026-251-02.pdf

Produkt	SCADAPack 47x – wszystkie wersje SCADAPack 47xi – wszystkie wersje SCADAPack 47xd – wszystkie wersje SCADAPack 470R – wszystkie wersje SCADAPack 57x – wszystkie wersje SCADAPack 3xx – wszystkie wersje SCADAPack 32 – wszystkie wersje
Numer CVE	CVE-2026-81861
Krytyczność	6.5/10
CVSS	AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N
Opis	Luka w zabezpieczeniach związana z niedostateczną ochroną poświadczeń, która może skutkować ujawnieniem informacji uwierzytelniających i nieautoryzowanym dostępem do funkcjonalności RTU.

Aktualizacja	TAK
Link	https://download.se.com/files?p_Doc_Ref=SEVD-2026-251-03&p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2026-251-03.pdf

Produkt	Modicon M580 – wszystkie wersje z poziomem aplikacji poniżej 4.00 Modicon M580 Safety – wszystkie wersje z poziomem aplikacji poniżej 4.20
Numer CVE	CVE-2026-3869
Krytyczność	9.8/10
CVSS	AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Opis	Istnieje luka w zabezpieczeniach związana z nieprawidłową implementacją algorytmu uwierzytelniania, która może spowodować utratę poufności, integralności i dostępności sterownika PLC, jeśli na sterowniku PLC działa projekt aplikacji o niższym poziomie aplikacji.

Aktualizacja	TAK
Link	https://download.se.com/files?p_Doc_Ref=SEVD-2026-251-04&p_enDocType=Security+and+Safety+Notice&p_File_Name=SEVD-2026-251-04.pdf