CISA ออก 5 ประกาศ Siemens ICSA-26-316 ผลกระทบ PHP2Shell และ Node2Shell ต่อระบบอาคาร

ICSA-26-316-02 และ -03: Node2Shell ใน Desigo, Gridscale และ Industrial Edge

Node2Shell คือช่องโหว่ buffer overflow ในตัวถอดรหัส Brotli รุ่น 1.0.3 ถึง 1.2.0 ผู้โจมตีที่ไม่ต้องล็อกอินส่งสตรีมที่บีบอัดด้วย Brotli แบบที่สร้างขึ้นเฉพาะ เพื่อทำให้หน่วยความจำเสียหาย อ่านข้อมูลหน่วยความจำ ทำให้บริการล่ม หรืออาจรันโค้ดได้ ต้นทางแนะนำให้อัปเดต Brotli เป็น 1.0.10, 1.1.1 หรือ 1.2.1

ใน ICSA-26-316-02 Siemens ให้ผู้ใช้ Desigo CC V8 และ V9 ติดตั้งอัปเดตความปลอดภัยของ .NET ผ่าน Windows Update ส่วน Gridscale X DSA รุ่น 5.3 ให้ขึ้นเป็น V5.4 และ Gridscale X PSS®E ก่อน V36.8.0 ให้ขึ้นเป็น V36.8.0 หรือใหม่กว่า

ใน ICSA-26-316-03 Siemens ระบุว่าถ้า Industrial Edge Management ไม่ได้ติดตั้ง Management Application ไว้ก็ไม่ต้องทำอะไร เพราะฟังก์ชันที่ได้รับผลไม่ถูกเรียกใช้ แม้ไลบรารี Brotli จะอยู่ในซอฟต์แวร์ส่วนรวมก็ตาม แต่ถ้าติดตั้ง Management Application หรือ Device Application ต้องทำตามวิธีบรรเทาจนกว่าจะมีรุ่นแก้

• Industrial Edge Management Cloud บริการคลาวด์ของ Siemens แก้ตั้งแต่ 28 ตุลาคม 2026 ผู้ใช้ไม่ต้องทำอะไร
• Cloud Connector Configurator ต้องเป็น V1.24.3 ขึ้นไป และ Data Flow Monitoring V3.0.18 ขึ้นไป
• Databus Configurator V4.0.1, DataXess Configurator V1.5.7, Edge OPC UA Server Configurator V2.3.10 และ Flow Creator Configurator V1.15.1 ขึ้นไป
• Common Configurator บน IEM ยังไม่มีรุ่นแก้ Siemens ให้ถอน Management Application ทั้งหมดและป้องกัน IEM ด้วยไฟร์วอลล์หรือ WAF
• Common Configurator บนอุปกรณ์ (CC on Edge) ให้หยุดใช้งานจนกว่าจะมีรุ่นแก้

ICSA-26-316-04 และ -05: RUGGEDCOM APE1808 ที่ใช้ PAN-OS

RUGGEDCOM APE1808 เป็นอุปกรณ์ของ Siemens ที่รัน Palo Alto Networks PAN-OS ประกาศทั้งสองฉบับระบุว่าทุกรุ่นได้รับผลจาก Node2Shell และจาก PHP2Shell ใน PAN-OS 10.2, 11.1, 11.2, 12.1 และ 12.2 ทุกรุ่นย่อย Siemens ให้ลูกค้าอัปเกรดเป็น PAN-OS รุ่นที่แก้แล้ว ติดต่อฝ่ายสนับสนุนเพื่อขอแพตช์เพิ่มเติม และทำตามวิธีบรรเทาที่ Palo Alto Networks ประกาศไว้

คำแนะนำของ Siemens และ CISA

Siemens แนะนำเป็นหลักทั่วไปให้ป้องกันการเข้าถึงเครือข่ายของอุปกรณ์ด้วยกลไกที่เหมาะสม และตั้งค่าสภาพแวดล้อมตามคู่มือ Industrial Security ของ Siemens สำหรับผู้ดูแลระบบไฟฟ้า Siemens ย้ำให้ตรวจว่ามีมาตรการป้องกันแบบหลายชั้นและซ้ำซ้อนตามที่กฎระเบียบกำหนด และให้ตรวจสอบอัปเดตก่อนติดตั้งโดยมีเจ้าหน้าที่ที่ผ่านการอบรมดูแลกระบวนการ

CISA แนะนำให้ลดการเปิดอุปกรณ์ระบบควบคุมสู่อินเทอร์เน็ต วางเครือข่ายควบคุมและอุปกรณ์ระยะไกลหลังไฟร์วอลล์แยกจากเครือข่ายธุรกิจ และใช้ VPN ที่อัปเดตแล้วเมื่อต้องเข้าถึงจากระยะไกล พร้อมเตือนว่า VPN ปลอดภัยเท่ากับอุปกรณ์ที่เชื่อมต่อ และควรวิเคราะห์ผลกระทบก่อนปรับมาตรการ

สิ่งที่องค์กรไทยควรทำกับ ICSA-26-316

1. ทำรายการผลิตภัณฑ์ Siemens ในโรงงาน อาคาร และระบบพลังงาน เทียบกับตารางของ ICSA-26-316-01 ถึง -05 ว่ารุ่นที่ใช้อยู่อยู่ในรายการหรือไม่
2. อัปเดตรายการที่มีรุ่นแก้ เช่น Gridscale X, Cloud Connector Configurator และ Local Monitoring โดยทดสอบก่อนติดตั้งตามที่ Siemens แนะนำ
3. ใช้วิธีบรรเทากับรายการที่ยังไม่มีรุ่นแก้ เช่น ถอน Management Application ออกจาก IEM แล้ววางหลังไฟร์วอลล์หรือ WAF และหยุด CC on Edge
4. ตรวจว่าอุปกรณ์เข้าถึงจากอินเทอร์เน็ตได้หรือไม่ ตามคำแนะนำของ CISA แล้วแยกเครือข่ายควบคุมออกจากเครือข่ายธุรกิจ
5. ติดตามประกาศฉบับปรับปรุง เพราะ Siemens ระบุว่าจะเผยแพร่ข้อมูลเพิ่มเมื่อมีรุ่นแก้ใหม่

บริการของ THAI DATA CLOUD ที่เกี่ยวข้อง

ระบบอาคารและโรงงานที่ต่อเข้าเครือข่ายองค์กรต้องมีคนเฝ้ารอบแพตช์เช่นเดียวกับระบบไอที Managed Cloud Services ของ THAI DATA CLOUD ดูแลตั้งแต่ติดตั้ง บริหาร ไปจนถึง Monitoring ระบบคลาวด์ขององค์กรตลอด 24 ชั่วโมง ให้ทีมไอทีภายในมีเวลาไปดูแลระบบหน้างานมากขึ้น (THAI DATA CLOUD เป็นผู้ดำเนินงานเว็บไซต์นี้)

ติดตามข่าวความปลอดภัยไซเบอร์อื่น ๆ ได้ที่หมวด Security