Er duiken opnieuw risico’s op in software die in de wetenschap en industrie dagelijks draait. CISA waarschuwt voor lang verborgen kwetsbaarheden in EPICS Base, de kerncomponent van EPICS, een open source toolkit waarmee wetenschappelijke faciliteiten hun besturingssystemen opzetten. De kwetsbaarheden kunnen leiden tot crashes, datalekken en mogelijk—onder bepaalde voorwaarden—geheugencorruptie.
De boodschap is helder: wil je incidenten en verstoringen van experimenten voorkomen, dan is de EPICS Base patch naar versie 7.0.11 (of hoger) het meest urgente advies.
Wat is er precies kwetsbaar in EPICS Base?
Volgens CISA beïnvloeden de issues EPICS Base 7.0.10 en eerder. Het gaat om vier afzonderlijke kwetsbaarheden, met verschillende effecten maar allemaal gekoppeld aan het verwerken van netwerkcommunicatie via de EPICS-protocollen Channel Access en pvAccess.
De onderzoekers achter de ontdekking zijn Cipher, een autonoom security research-systeem van Causal Security. Causal meldt dat de problemen in de code al geruime tijd aanwezig zijn—volgens hun analyse ergens tussen grofweg 14,5 en 31,5 jaar oud.
De impact: van crashes tot mogelijk remote code execution
De ernst varieert per kwetsbaarheid, maar de hoogste score is zéér opvallend. CISA koppelt de volgende CVE’s aan EPICS Base:
- CVE-2026-114595 (CVSS 9.8): een integer overflow tijdens het verwerken van netwerkverzoeken. Dit kan leiden tot een verkeerd gedimensioneerde geheugenallocatie en daarna geheugenproblemen veroorzaken, met als mogelijke gevolgen DoS of remote code execution.
- CVE-2026-114596 (CVSS 8.2): een out-of-bounds write waardoor het proces instabiel wordt of een DoS kan veroorzaken.
- CVE-2026-114597 (CVSS 7.5): een out-of-bounds read die de toepassing kan laten crashen en mogelijk data uit nabijgelegen geheugen kan lekken.
- CVE-2026-114598 (CVSS 7.5): een type confusion die met gemanipuleerde netwerkdata kan worden getriggerd, met opnieuw vooral DoS als effect.
Belangrijk detail: CISA meldt geen openbare aanwijzingen van misbruik, en de onderzoekers geven aan dat code execution niet functioneel is aangetoond. Wel is door Cipher met hulpmiddelen aangetoond dat een aanvaller gerichte geheugen-schrijfacties kan veroorzaken en processen kan doen crashen.
Wat heeft een aanvaller nodig?
Een van de meest zorgwekkende onderdelen is hoe weinig nodig is om de kwetsbaarheden te triggeren. Volgens de toelichting van de onderzoekers kunnen de problemen in principe worden geactiveerd zonder authenticatie en zonder gebruikersinteractie.
Een aanvaller heeft in elk geval netwerktoegang nodig tot de kwetsbare EPICS-diensten. In de praktijk gaat het vaak om poorten die samenhangen met de twee genoemde protocollen, zoals:
- TCP 5064 (Channel Access)
- TCP 5075 (pvAccess)
De aanval kan mogelijk plaatsvinden via een blootgestelde dienst of wanneer de diensten bereikbaar zijn via het interne netwerk van een faciliteit.
Waarom dit OT en onderzoek direct raakt
De gevolgen van een succesvolle aanval zijn niet alleen technisch van aard. Omdat EPICS wordt gebruikt om controle- en meetprocessen te bouwen, kan verstoring direct doorsijpelen naar lopende experimenten en operationele systemen.
De onderzoekers verwachten dat het misbruik—afhankelijk van de kwetsbaarheid—kan leiden tot bijvoorbeeld:
- onderbreking van deeltjesbundels of processen die daarmee samenhangen
- verstoring van experimenten en het verlies van meet- of monitoringdata
- kostenintensieve shutdowns van kritieke apparatuur
Daarmee is de EPICS Base patch niet alleen “beheerwerk”, maar vooral een maatregel om de continuïteit van onderzoek en metingen te beschermen.
Is er al misbruik gezien?
CISA geeft aan dat er geen publieke exploitation van de kwetsbaarheden is gemeld. Dat betekent niet dat je kunt wachten: juist bij kwetsbaarheden met hoge CVSS-scores ligt het risico op misbruik vaak op de loer zodra software bereikbaar is vanaf het netwerk.
De onderzoekers deden daarnaast een snelle verkenning met Censys op basis van blootgestelde poorten. Daarbij konden ze potentiële kandidaten herkennen, maar ze konden niet bevestigen dat het daadwerkelijk om EPICS ging.
Hoe snel werd het opgelost en gepatch?
Cipher vond de vier kwetsbaarheden in relatief korte tijd: volgens Causal ging het om ongeveer 3 uur en 49 minuten vanaf het starten van de analyse. Het systeem werkte daarbij zonder vooraf gekregen aanvalstechnieken specifiek voor scientific control systems.
Vanuit de codegeschiedenis blijkt dat de fouten al lang in de software aanwezig waren. Causal meldt dat EPICS-maintainers op 9 juni werden geïnformeerd en daarna patches hebben samengevoegd in juli en augustus.
Zo pak je de EPICS Base patch aan
De kernactie is eenvoudig: upgrade naar EPICS Base 7.0.11 of nieuwer. Richt het upgradeproces zo in dat netwerktoegang tot kwetsbare diensten niet onnodig blijft bestaan.
Praktisch betekent dit meestal:
- inventariseer welke EPICS Base-versies draaien (minimaal binnen de systemen die Channel Access en pvAccess aanbieden)
- plan een upgrade naar 7.0.11 met de juiste test- en uitrolvensters
- beperk netwerkbereik: voorkom dat deze poorten onnodig intern of extern bereikbaar zijn
Wil je je aanpak rond netwerkgedreven kwetsbaarheden vergelijken met andere recente OT-cases? Lees dan ook eens hoe organisaties omgaan met risico’s rond industriële domeinen en patchprioriteit via stappen voor OT bij PHP2Shell-risico’s.
Waarom dit een signaal is voor je securityproces
Deze ontdekking onderstreept dat wetenschappelijke infrastructuur en OT-omgevingen niet buiten het moderne dreigingsbeeld vallen. Kwetsbaarheden kunnen lang “onzichtbaar” blijven en tóch relevant worden zodra diensten beschikbaar zijn of zodra onderzoekers misbruikbaar gedrag aantonen.
Daarnaast is er een les over discovery: een autonoom research-systeem kon de issues vinden zonder voorkennis. Dat maakt de rol van voortdurende monitoring, snelle patchcyclus en netwerksegmentatie des te belangrijker.
Tot slot: hoewel CISA geen openbare exploitatie meldt, kan de combinatie van hoge CVSS-scores, netwerktoegang zonder authenticatie en het potentieel voor operationele verstoringen de schade snel groot maken. Daarom geldt: wacht niet met de EPICS Base patch.
Als je systemen met EPICS Base nog op 7.0.10 of lager draaien, zet dan upgraden naar 7.0.11 bovenaan je planning en check tegelijk of Channel Access (5064) en pvAccess (5075) alleen bereikbaar zijn waar dat nodig is.
Bron: https://www.securityweek.com/long-hidden-flaws-patched-in-epics-research-facility-control-software/
