- Siemens Industrial Edge漏洞可能讓經身份驗證的遠程攻擊者存取敏感內部資料。
- 早於1.28.1版本的Industrial Edge Cloud、Own及Virtual Devices受CVE-2026-44414影響。
- Siemens已為數款受影響產品發布新版本，並建議更新至最新版本。
CISA於2026年10月22日發布公告，涵蓋Siemens Industrial Edge Devices的多個路徑遍歷漏洞。漏洞可能讓經身份驗證的遠程攻擊者存取敏感內部資料。
受影響的Industrial Edge Cloud、Own及Virtual Devices為早於1.28.1的版本。公告亦列出SIMATIC IoT2050 Advanced IED及SM IED，以及SIMATIC HMI MTP1000 Unified Comfort Panel，屬受影響裝置。
Siemens表示，Industrial Edge讓製造商在工廠環境部署及管理應用程式。
CVE-2026-44414影響1.28.1前Industrial Edge版本
CISA確認Industrial Edge Cloud Device、Industrial Edge Own Device及Industrial Edge Virtual Device早於1.28.1的版本存在CVE-2026-44414。
CISA列出其中一個漏洞的向量為CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:N，另一個漏洞的向量為CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H。
| 產品 | 受影響版本 | CVE |
|---|---|---|
| Industrial Edge Cloud Device | 早於1.28.1 | CVE-2026-44414 |
| Industrial Edge Own Device | 早於1.28.1 | CVE-2026-44414 |
| Industrial Edge Virtual Device | 早於1.28.1 | CVE-2026-44414 |
| SIMATIC HMI MTP1000 Unified Comfort Panel | 所有版本 | CVE-2026-44415 |
公告列出Siemens產品的其他漏洞
CISA表示，SIMATIC S7 Webserver API的.NET Client Library含有漏洞，可能泄露敏感資料，或在原定下載目錄以外寫入任意檔案。早於3.3.61及3.3.62的版本分別受CVE-2026-85114及CVE-2026-85115影響。
CISA亦表示，RUGGEDCOM CROSSBOW漏洞可能讓攻擊者執行任意SQL命令、取得敏感行政憑證、提升權限、未經授權更改系統配置或造成拒絕服務。早於6.0的版本受CVE-2026-89196至CVE-2026-89206影響，而RUGGEDCOM APE1808裝置則受列出的5個CVE影響。
Siemens建議更新或限制網絡存取
對於有廠商修補程式的受影響產品，Siemens列出更新至1.28.1或之後版本。CISA表示，Siemens建議數款受影響產品更新至最新版本。
Siemens ProductCERT已向CISA報告漏洞。Siemens正為尚未有修補程式的產品準備進一步修補程式，而CISA表示，公司已為數款受影響產品發布新版本。
防守方現在要做甚麼
- 將受影響產品更新至最新版本。
- 確保只有受信任人士可存取受影響產品的網絡。
常見問題
Siemens Industrial Edge發生甚麼事？
CISA於2026年10月22日發布公告，涵蓋Siemens Industrial Edge的多個路徑遍歷漏洞，可能讓經身份驗證的遠程攻擊者存取敏感內部資料。
哪些Siemens Industrial Edge版本受影響？
早於1.28.1版本的Industrial Edge Cloud、Own及Virtual Devices受CVE-2026-44414影響。CISA亦列出SIMATIC IoT2050 Advanced IED及SM IED，以及SIMATIC HMI MTP1000 Unified Comfort Panel。
Siemens Industrial Edge的CVE編號是甚麼？
Industrial Edge公告涵蓋CVE-2026-44414及CVE-2026-44415。
Siemens Industrial Edge客戶如何修補漏洞？
Siemens建議將受影響產品更新至最新版本，並確保只有受信任人士可存取受影響產品的網絡。
誰向CISA報告Siemens Industrial Edge漏洞？
Siemens ProductCERT向CISA報告漏洞。
來源
我們如何核實這篇報道
| 內容 | 來源 | 狀態 |
|---|---|---|
| CISA表示，Siemens Industrial Edge Devices含有多個路徑遍歷漏洞，可能讓經身份驗證的遠程攻擊者存取敏感內部資料。 | CISA | 已證實 |
| 受影響的Industrial Edge Cloud、Own及Virtual Devices為早於1.28.1的版本，並使用CVE-2026-44414。 | CISA | 已證實 |
| CISA列出其中一個漏洞的CVSS向量為CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:N。 | CISA | 已證實 |
| CISA列出另一個漏洞的CVSS向量為CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H。 | CISA | 已證實 |
| 對於有廠商修補程式的受影響產品，Siemens列出更新至1.28.1或之後版本。 | CISA | 已證實 |
| Siemens ProductCERT已向CISA報告漏洞。 | CISA | 已證實 |
| Siemens Industrial Edge讓製造商在工廠環境部署及管理應用程式。 | Siemens | 引述 |
| SIMATIC S7 Webserver API的.NET Client Library含有漏洞，可能泄露敏感資料，或在原定下載目錄以外寫入任意檔案。 | CISA | 已證實 |
| .NET Client Library早於3.3.61及3.3.62的版本分別受CVE-2026-85114及CVE-2026-85115影響。 | CISA | 已證實 |
| CISA報告，RUGGEDCOM CROSSBOW漏洞可能讓攻擊者執行SQL命令、取得憑證、提升權限、未經授權更改配置或造成拒絕服務。 | CISA | 已證實 |
| 早於6.0的RUGGEDCOM CROSSBOW版本受CVE-2026-89196至CVE-2026-89206影響。 | CISA | 已證實 |
| RUGGEDCOM APE1808裝置受列為CVE-2026-33387、CVE-2026-33388、CVE-2026-33389、CVE-2026-33391及CVE-2026-33920的5個漏洞影響。 | CISA | 已證實 |
| CISA於2026年10月22日發布報告。 | CISA | 已證實 |
未能核實
- 尚未確定漏洞是否已在野外遭利用
- 尚未確定受影響裝置或組織的數目
- 尚未確定Siemens是否已為每項受影響產品發布修補程式
- 尚未確定漏洞是否與Siemens其他公告有關
