Hitachi Energy vá hai lỗ hổng bảo mật CoreTec
"Hitachi Energy identified OS command injection (CVE-2026-13162) and a write-what-where condition (CVE-2026-43284) in CoreTec products. Successful exploitation could lead to confidentiality, integrity, and availability compromise. Mitigation involves updating to CoreTec5 version 5.0.0 or upgrading to CoreTec5."
Hai lỗ hổng OS command injection và write-what-where có thể dẫn đến mất kiểm soát hệ thống và rò rỉ dữ liệu.
Các doanh nghiệp sử dụng CoreTec trong hệ thống điều khiển công nghiệp có thể gặp gián đoạn hoạt động và tổn thất tài chính do các lỗ hổng này.
Hitachi Energy phát hiện hai lỗ hổng: OS command injection (CVE-2026-13162) và write-what-where (CVE-2026-43284) trong sản phẩm CoreTec. Việc khai thác thành công có thể dẫn đến mất tính bảo mật, tính toàn vẹn và tính khả dụng của hệ thống.
Các phiên bản CoreTec5 3.4.0 trở xuống và CoreTec4 3.4.0 trở xuống bị ảnh hưởng. Hitachi Energy khuyến nghị cập nhật lên CoreTec5 phiên bản 5.0.0 hoặc nâng cấp lên CoreTec5 để khắc phục.
Lỗ hổng CVE-2026-13162 cho phép người dùng đã xác thực thực thi lệnh hệ thống tùy ý với quyền kiểm soát đầy đủ thiết bị thông qua giao diện cấu hình. Lỗ hổng CVE-2026-43284 cho phép người dùng không đặc quyền leo thang đặc quyền lên root thông qua việc xử lý gói tin ESP (Encapsulating Security Payload) trong kernel Linux. Chi tiết về các lỗ hổng được mô tả tại https://www.cisa.gov/news-events/alerts/2026-10-29/hitachi-energy-coretec-product.
Câu hỏi thường gặp
CVE-2026-13162 là gì?
Đây là lỗ hổng cho phép người dùng đã xác thực thực thi lệnh hệ thống tùy ý trên thiết bị CoreTec. Lỗ hổng nằm trong trình xử lý đồng bộ hóa thời gian của daemon cấu hình.
CVE-2026-43284 ảnh hưởng đến hệ thống như thế nào?
Lỗ hổng này cho phép người dùng không đặc quyền leo thang đặc quyền lên root thông qua việc xử lý gói tin ESP trong kernel Linux. Điều này có thể cho phép kẻ tấn công kiểm soát hoàn toàn hệ thống.
Cách khắc phục các lỗ hổng này là gì?
Hitachi Energy khuyến nghị cập nhật lên CoreTec5 phiên bản 5.0.0 hoặc nâng cấp lên CoreTec5. Đối với CoreTec4, cần nâng cấp lên CoreTec5 phiên bản 5.0.0.
Góc nhìn của Orange Cloud
Theo chúng tôi, các lỗ hổng này đáng chú ý với các doanh nghiệp Việt Nam sử dụng hệ thống điều khiển công nghiệp (ICS) của Hitachi Energy. Việc cập nhật lên phiên bản mới nhất là cần thiết để giảm thiểu rủi ro. Điều đáng chú ý là lỗ hổng CVE-2026-43284 cho phép leo thang đặc quyền, có thể dẫn đến hậu quả nghiêm trọng nếu bị khai thác.