مجوزی در اسکادا که خالی عرضه شد

هشدار ICSA-26-246-06 از CISA نرم‌افزار ایگنیشن شرکت Inductive Automation را پوشش می‌دهد؛ یکی از پرکاربردترین سکوهای اسکادا و رابط اپراتوری در کف کارخانه. این مشکل با شناسه CVE-2026-77393 از نوع CWE-276 است — مجوزهای پیش‌فرض نادرست — با امتیاز ۸٫۸ در CVSS نسخه ۳٫۱ و ۸٫۷ در نسخه ۴٫۰، و نسخه ۸٫۱٫۵۳ و پیش از آن را متاثر می‌کند.

توصیف ماجرا به‌طور غیرمعمولی ساده است. تنظیم «نقش‌های ساخت پروژه» در گیت‌وی خالی عرضه شد، که به هر کاربر احراز هویت‌شده اجازه ساخت پروژه می‌داد. اینجا نه خرابی حافظه‌ای هست و نه زنجیره بهره‌برداری هوشمندانه‌ای: کنترل دسترسی دقیقا همان‌طور که پیکربندی شده بود کار کرد، و پیکربندی شده بود که چیزی نخواهد.

همین آن را به نمونه آموزشی مفیدتری از بیشتر هشدارها بدل می‌کند. سرریز بافر و وضعیت رقابتی مشکل سازنده و چرخه وصله مشتری‌اند. پیش‌فرض خالی، شکستی مشترک است — سازنده برای عرضه مجوزی خالی روی کنترلی امنیتی، و هر استقراری که پیش‌فرض را بدون پرسیدن معنایش پذیرفت. همچنین یعنی راه‌حل برای هر کسی که نمی‌تواند بی‌درنگ ارتقا دهد در دسترس است: در نسخه‌های قدیمی‌تر ۸٫۱، تنظیم «نقش‌های ساخت پروژه» را با نقش Designer خود پر کنید و شکاف در یک بعدازظهر بسته می‌شود، بدون پنجره تغییر و بدون کارزار میان‌افزار.

راه‌حل دائمی نسخه ۸٫۱٫۵۴ یا بالاتر است و کل سری ۸٫۳ ساخت پروژه را تنها به نشست‌های Designer محدود می‌کند. اعتبار کشف به کریستوفر لاسک از North Echo Security Research و الحسین فتحی می‌رسد و Inductive Automation آن را به CISA گزارش کرده است. بخش‌های متاثر تولید حیاتی، انرژی و فناوری اطلاعات‌اند.

درس عمومی ارزش بیان دارد چون مستقیم قابل انتقال است. پیش‌فرض‌های عرضه‌شده در یک گیت‌وی اسکادا شایسته همان بازبینی‌اند که قواعد دیوار آتش، و پیش‌فرضی که به جای محدودکننده خالی باشد خطرناک‌ترین نوع است، چون میدان خالی برای انسان یعنی «پیکربندی نشده» و برای نرم‌افزار یعنی «بدون محدودیت». ارزش دارد تنظیمات امنیتی هر سکوی گیت‌وی را مرور کنید و مشخصا دنبال کنترل‌هایی بگردید که خالی‌اند نه تنظیم‌شده — همان‌ها جاهایی‌اند که کسی تصمیمی نگرفته و تا وقتی هشداری نامشان را نبرد کسی هم متوجه نمی‌شود.