Hơn 4.400 PLC Rockwell bị lộ trên Internet
"Forescout reported more than 4,400 Rockwell Automation PLCs exposed on the public internet, including 22 in cities affected by recent attacks on U.S. water utilities. Nineteen of those controllers were running firmware susceptible to CVE-2017-16740, a Modbus TCP buffer overflow in MicroLogix 1400 Series B/C fixed in revision 21.003; the broader risk is unauthenticated exposure of EtherNet/IP on port 44818, which can allow controller identification or configuration changes without an exploit. The article notes that direct public exposure remains unsafe even when firmware is patched, and recovery from password changes may require factory reset and reloading known-good logic."
Rủi ro truy cập trái phép vào PLC công nghiệp, có thể dẫn đến thay đổi cấu hình hoặc mất kiểm soát thiết bị. Việc lộ EtherNet/IP công khai làm tăng bề mặt tấn công ngay cả khi firmware đã được vá.
Có thể gây gián đoạn vận hành OT, đặc biệt trong môi trường hạ tầng nước sạch và các hệ thống điều khiển từ xa. Doanh nghiệp cần ưu tiên kiểm kê tài sản, loại bỏ phơi bày Internet và chuẩn bị quy trình khôi phục PLC.
Forescout cho biết đã phát hiện 4.407 bộ điều khiển PLC Rockwell Automation có thể truy cập từ Internet trong đợt quét ngày 3/8, trong đó có 2.844 thiết bị tại Mỹ. Đáng chú ý, 22 PLC nằm ở các thành phố từng bị ảnh hưởng bởi các cuộc tấn công gần đây vào hệ thống nước sạch của Mỹ; 19 thiết bị trong số này chạy firmware có thể bị ảnh hưởng bởi CVE-2017-16740.
Lỗ hổng này là lỗi buffer overflow trong Modbus TCP trên MicroLogix 1400 Series B/C, đã được khắc phục ở revision 21.003. Tuy nhiên, rủi ro lớn hơn là việc để EtherNet/IP mở công khai trên port 44818, vì điều này có thể cho phép kẻ tấn công nhận diện bộ điều khiển hoặc thay đổi cấu hình mà không cần khai thác lỗ hổng.
Forescout nhấn mạnh rằng việc vá firmware không đủ nếu PLC vẫn lộ trực tiếp ra Internet. Khuyến nghị kỹ thuật gồm: đưa PLC ra khỏi Internet công cộng, dùng private APN, VPN hoặc kiến trúc truy cập từ xa tương tự, bật xác thực mạnh, cập nhật và ghi log cho modem di động. Với các thiết bị bị đổi mật khẩu, có thể cần factory reset và nạp lại logic đã xác minh từ bản sao offline gần nhất.