- 这些漏洞可能导致拒绝服务，并影响受影响Siemens设备的可用性。
- APOGEE和TALON产品关联4个列出的CVE，而Desigo PXC和PXM产品关联CVE-2026-89208。
- CISA建议将多款受影响产品更新至Siemens发布的最新版本。
CISA于2026年10月22日发布公告，报告了Siemens APOGEE、TALON和Desigo PXC/PXM产品中的多个漏洞。这些漏洞可能允许攻击者发起拒绝服务，并可能影响受影响设备的可用性。
受影响产品部署于全球各地。CISA确认了越界读取、整数下溢和基于栈的缓冲区溢出漏洞。
SecurityInfoWatch将Siemens Desigo Mass Notification描述为集成通信系统，可在一栋建筑内或大型园区内运行，操作员可使用集中式控制面板管理、跟踪和查看紧急事件。
CISA列出5个CVE及3种漏洞类型
CISA为APOGEE MBC（PPC）BACnet产品列出了CVE-2026-102073、CVE-2026-102074、CVE-2026-102075和CVE-2026-102076，列出的版本适用于所有版本。CISA为Desigo PXC00-E.D2.3或更高版本列出了CVE-2026-89208。
CISA提出网络分段及FTP/Web缓解措施
针对CVE-2026-89208，CISA建议实施网络分段，并将控制器置于正确配置的网关或防火墙之后。
CISA还建议禁用FTP/Web服务。公告指出，APOGEE、Desigo和TALON产品默认禁用该服务。
CISA列出的Siemens修复选项
CISA列出了供应商修复措施，要求部分受影响产品更新至V3.5.7或更高版本，其他产品更新至V2.8.21或更高版本。
公告还称，目前不计划为部分受影响产品提供修复。
CISA表示，Siemens已为多款受影响产品发布新版本，并建议更新至最新版本。公告还列出了具体产品修复措施，包括更新至V3.5.7或更高版本以及V2.8.21或更高版本。
CISA表示，部分受影响产品不计划提供修复。其缓解指南包括禁用FTP/Web服务，CISA称该服务在APOGEE、Desigo和TALON产品中默认禁用。
| 供应商修复措施 | 来源 |
|---|---|
| 更新至V3.5.7或更高版本 | CISA |
| 更新至V2.8.21或更高版本 | CISA |
防守方现在要做什么
- 更新至最新版本。
常见问题
Siemens APOGEE、TALON和Desigo产品发生了什么？
CISA报告了多个漏洞，攻击者可能利用这些漏洞发起拒绝服务，并可能影响受影响设备的可用性。
哪些Siemens产品和CVE受到影响？
CISA为APOGEE和TALON产品列出了4个CVE，并为Desigo PXC和PXM产品列出了CVE-2026-89208。
CISA确认了哪些类型的漏洞？
该公告确认了越界读取、整数下溢和基于栈的缓冲区溢出漏洞。
如何修复Siemens漏洞？
CISA表示，Siemens已为多款受影响产品发布新版本，并建议更新至最新版本。CISA列出了部分产品更新至V3.5.7或更高版本以及V2.8.21或更高版本的要求。
CISA针对CVE-2026-89208建议采取哪些网络防护措施？
CISA建议实施网络分段，并将控制器置于正确配置的网关或防火墙之后。
来源
我们如何核实这篇报道
| 内容 | 来源 | 状态 |
|---|---|---|
| CISA报告了可能导致拒绝服务并可能影响受影响Siemens设备可用性的多个漏洞。 | CISA | 已证实 |
| CISA表示，受影响产品部署于全球各地，Siemens总部位于德国。 | CISA | 已证实 |
| CISA确认了越界读取、整数下溢和基于栈的缓冲区溢出漏洞。 | CISA | 已证实 |
| CISA为受影响的APOGEE和TALON产品列出了CVE-2026-102073、CVE-2026-102074、CVE-2026-102075和CVE-2026-102076。 | CISA | 已证实 |
| CISA为受影响的Desigo PXC和PXM产品列出了CVE-2026-89208。 | CISA | 已证实 |
| CISA针对CVE-2026-89208建议采用网络分段以及正确配置的网关或防火墙。 | CISA | 已证实 |
| CISA建议禁用FTP/Web服务，并表示该服务在APOGEE、Desigo和TALON产品中默认禁用。 | CISA | 已证实 |
| CISA表示，部分受影响产品不计划提供修复。 | CISA | 已证实 |
| CISA将更新至V3.5.7或更高版本列为部分受影响产品的供应商修复措施。 | CISA | 已证实 |
| CISA将更新至V2.8.21或更高版本列为部分受影响产品的供应商修复措施。 | CISA | 已证实 |
| CISA将一个漏洞关联至CWE-125越界读取。 | CISA | 已证实 |
| CISA将一个漏洞关联至CWE-191整数下溢。 | CISA | 已证实 |
| CISA将一个漏洞关联至CWE-121基于栈的缓冲区溢出。 | CISA | 已证实 |
| SecurityInfoWatch将Desigo Mass Notification描述为Siemens集成通信系统，可在一栋建筑内或大型园区内使用。 | SecurityInfoWatch, via Security | 引述 |
| SecurityInfoWatch表示，操作员使用集中式控制面板管理、跟踪和查看紧急事件。 | SecurityInfoWatch, via Security | 引述 |
| CISA于2026年10月22日发布报告。 | CISA | 已证实 |
未能核实
- 这些漏洞是否已在野外遭到利用尚未确定
- 受影响的设备或组织数量尚未确定
