Múltiplas vulnerabilidades no runtime de controle CODESYS, uma das plataformas de controladores lógicos programáveis baseados em software (Soft PLC) mais amplamente adotadas do mundo, foram exploradas por pesquisadores do Nozomi Networks Labs. Ao encadear essas falhas de segurança, um atacante autenticado pode substituir uma aplicação de controle industrial legítima por uma versão com backdoor, escalando seus privilégios para controle administrativo total do dispositivo alvo.
Contexto e impacto no setor industrial
O CODESYS é utilizado em diversos setores industriais, desde estações de tratamento de água e redes de energia até linhas de produção automatizadas. Como esses PLCs governam diretamente processos físicos, uma vulnerabilidade explorada pode resultar em parada de produção, danos a equipamentos ou condições operacionais perigosas. O runtime de controle CODESYS gerencia o processamento de entrada e saída em tempo real e as comunicações de rede para sistemas automatizados, tornando-o um alvo crítico para adversários que buscam causar disrupção operacional.
Análise técnica das vulnerabilidades
As vulnerabilidades recém-descobertas impactam como o runtime lida com permissões de arquivo e restaurações de backup. A primeira, CVE-2025-41658 (CVSS 5.5, Média), permite que usuários locais leiam hashes de senha do CODESYS devido a permissões padrão incorretas. A segunda, CVE-2025-41659 (CVSS 8.3, Alta), permite que usuários de baixa privacidade acessem dados criptográficos sensíveis devido a permissões inadequadas. A terceira, CVE-2025-41660 (CVSS 8.8, Alta), permite a restauração de um aplicativo de inicialização adulterado devido a uma falha na transferência de recursos.
Para executar este ataque, um ator de ameaça primeiro precisa de credenciais de nível de serviço válidas. Controles de segurança padrão geralmente impedem isso, mas os atacantes podem roubar credenciais via senhas padrão, estações de engenharia comprometidas ou explorando o CVE-2025-41658 para extrair hashes. Uma vez autenticado, o ataque se desenrola em várias etapas: baixar o aplicativo usando a funcionalidade de backup, roubar chaves criptográficas explorando o CVE-2025-41659, injetar código malicioso no binário e explorar o CVE-2025-41660 para fazer upload da aplicação com backdoor de volta ao dispositivo.
Fluxo de trabalho da cadeia de ataque
Após a restauração, o atacante aguarda que um operador reinicie o aplicativo ou reinicie o sistema. Ao reiniciar, o backdoor injetado é executado com privilégios de root. Com acesso root, o atacante modifica o banco de dados de usuários local para conceder a si mesmo direitos completos de Administrador. Um Soft PLC comprometido permite que adversários alterem o comportamento dos atuadores, mudem os pontos de ajuste de segurança e anulem intertravamentos críticos do sistema.
Este ataque alinha-se com várias técnicas do MITRE ATT&CK for ICS, incluindo Manipulação de Controle (T0831), Modificação de Firmware do Módulo (T0839) e Roubo de Informações Operacionais (T0882). A capacidade de alterar o comportamento físico de equipamentos industriais eleva o risco de segurança de cibernético para operacional e físico.
Correções e mitigação
O CODESYS Group resolveu totalmente essas questões na versão 4.21.0.0 do Runtime de Controle CODESYS e na versão 3.5.22.0 do Toolkit. De acordo com o Nozomi Networks, para evitar mais adulterações, o CODESYS tornou a assinatura de código obrigatória por padrão para todo o código PLC antes que ele possa ser implantado ou executado. Administradores devem aplicar essas atualizações imediatamente, impor segmentação de rede estrita e monitorar continuamente o tráfego de rede industrial em busca de atividade suspeita.
Implicações para governança de segurança
Para CISOs e gestores de segurança industrial, a descoberta destaca a necessidade de revisão rigorosa das configurações de permissão em ambientes OT. A implementação de assinaturas de código obrigatórias e o monitoramento de mudanças não autorizadas em binários de aplicação são essenciais. A segmentação de rede entre redes IT e OT deve ser reforçada para limitar o acesso de credenciais de serviço a estações de engenharia autorizadas.