ייעוץ CISA: פרצות קריטיות בערכת בדיקות התקשורת ASE2000 V2 של Applied Systems Engineering

CISA פרסמה ייעוץ למערכות בקרה תעשייתיות ב-27 באוגוסט 2026, המפרט שתי פרצות המשפיעות על ערכת בדיקות התקשורת ASE2000 V2 של Applied Systems Engineering, גרסאות 2.25 עד 2.37. הפרצה הראשונה, CVE-2018-1285, היא הגבלה לא תקינה של הפניה לישות חיצונית XML (XXE) בספריית Apache log4net המצורפת, המאפשרת לתוקף לקרוא או לכתוב קבצים מקומיים שרירותיים או לגרום לבקשות רשת יוצאות. השנייה, CVE-2026-18717, היא פרצת אימות אישורים לא תקין בלקוח IEC 60870-5-104 TLS, המאפשרת לתוקף להתחזות לעמית מהימן, להשלים את לחיצת היד של TLS, ולקרוא או לשנות תקשורת מוגנת. ציוני CVSS נעים בין 7.4 ל-9.8 (קריטי). הספק, ASE/Kalkitech, שחרר גרסה 2.38 המשדרגת את log4net ומתקנת את אימות האישורים. CISA ממליצה לשדרג מיד ומספקת צעדי ביניים כגון הגבלת גישת כתיבה, בידוד רשתות ושימוש בחומות אש. לא דווח על ניצול ציבורי ידוע.