Deze week is er opnieuw aandacht voor de beveiliging van industriële omgevingen. Onder de noemer ICS Patch Tuesday hebben leveranciers van industriële technologie nieuwe advisories gepubliceerd met kwetsbaarheden die apparaten en besturingssystemen kunnen blootstellen aan serieuze aanvallen. Voor veel organisaties geldt: wacht niet alleen op patches, maar beoordeel ook de voorgestelde mitigerende maatregelen.
Met name Node2Shell komt terug in advisories van Siemens. Daarnaast zijn er meldingen voor meerdere componenten en systemen, variërend van code-injectie en willekeurige code-uitvoering tot toegang tot ongeautoriseerde data. Tegelijkertijd zijn er ook advisories van andere OT-spelers met eigen risico’s en impact op specifieke producten.
Node2Shell in de Siemens-advisories
Siemens heeft negen nieuwe advisories gepubliceerd, samen met tien kwetsbaarheden. Twee van die advisories beschrijven de impact van Node2Shell op Siemens-producten.
Volgens Siemens zijn er pogingen tot misbruik waargenomen voor Node2Shell. Tegelijkertijd is er geen aanwijzing dat aanvallen zich specifiek richten op Siemens-systemen. Dat laat onverlet dat organisaties hun blootstelling moeten onderzoeken: als het onderliggende mechanisme op hun installaties werkt, kan het alsnog richtinggevend zijn voor risico.
Hoge ernst kwetsbaarheden: wat kan er misgaan?
Naast Node2Shell waarschuwt Siemens voor meerdere high-severity issues in onder meer ROS#, Simcenter Femap, Mendix Studio Pro MCP Server, Simatic SCADA en PCS 7, Meta-iot2050 en Simatic WinCC Graphics Designer.
De mogelijke effecten zijn breed. De kwetsbaarheden kunnen volgens de advisories onder andere leiden tot:
- code-injectie
- het uitvoeren van willekeurige code
- toegang tot ongeautoriseerde data
- compromittering van het systeem
Voor OT-omgevingen is dat extra relevant omdat één succesvolle exploit ketens kan veroorzaken: van een aanvallersinteractie met een beheercomponent tot lateraal bewegen of het verstoren van processen. Daarom is het belangrijk om niet alleen naar de beschikbaarheid van patches te kijken, maar ook naar de voorgeschreven handelswijze.
Nog geen patches? Mitigaties worden leidend
Siemens meldt dat patches nog niet beschikbaar zijn voor meerdere getroffen producten. Daarnaast geldt voor sommige versies dat er überhaupt geen fix komt. In die gevallen adviseert Siemens klanten de aanbevolen mitigaties toe te passen.
Dat betekent praktisch dat beveiligingsteams hun aanpak moeten versnellen richting een “comply or mitigate”-houding: inventariseren welke productversies aanwezig zijn, de advisories naast elkaar leggen en vervolgens de mitigatie(s) toepassen die door de leverancier zijn beschreven.
Als je de Patch Tuesday-praktijk breder wilt positioneren binnen je proces, kan dit artikel helpen als achtergrond: waarom patchvertraging een risico blijft en hoe je dat organisatorisch adresseert.
Schneider Electric: medium-issue met impact op Rapsody
Ook Schneider Electric publiceerde een advisory, maar dan met een medium-severity kwetsbaarheid. Het gaat om EcoStruxure Power Build Rapsody en een scenario waarbij een aanvaller via het verwerken van malafide bestanden willekeurige code-uitvoering kan bereiken.
Ook bij een lagere ernst blijft dit type risico relevant in omgevingen waar bestanden van derden worden verwerkt, waar operators complexe installatieworkflows gebruiken of waar import- en configuratiepijplijnen niet strikt zijn afgeschermd.
VDE CERT: kwetsbaarheden in meerdere industriële merken
Vanuit Duitsland heeft VDE CERT acht nieuwe advisories gepubliceerd. Die betreffen kwetsbaarheden in producten van onder andere Beckhoff, MB Connect Line, Helmholz, Weidmueller, Bender en Ads-Tec.
Bijzonder is dat meerdere issues volgens de informatie afhangen van third-party componenten. Een voorbeeld dat genoemd wordt is PHP, waarbij wordt gesproken over PHP2Shell. Dat laat zien dat het risico in ICS niet alleen bij vendor-code zit, maar ook in gebruikte runtime’s en afhankelijkheden.
Phoenix Contact breidt uit: PHP2Shell, PLCnext en meer
In de dagen rond de Patch Tuesday-publicaties heeft Phoenix Contact advisories vrijgegeven over de impact van de PHP2Shell-kwetsbaarheden. Daarnaast zijn er meldingen voor kwetsbaarheden in PLCnext en andere producten.
Voor organisaties die meerdere leveranciers in één keten gebruiken, is dit een teken dat je niet kunt volstaan met één vendor-bericht. Je moet de informatie samenbrengen: welke runtimes draaien waar, welke integraties bestaan er en welke componenten vallen onder meerdere productfamilies?
Johnson Controls: risico’s bij EasyIO en C•CURE 9000
Ook Johnson Controls publiceerde eerder deze maand enkele advisories. De eerste richt zich op drie kwetsbaarheden in EasyIO Neo IO Manager, inclusief een issue die kan leiden tot privilege escalation en willekeurige code-uitvoering.
De tweede advisory gaat over een probleem in de C•CURE 9000 3.20 / Victor 8.0 installer. Daarbij kan een aanvaller in staat zijn admin-credentials en authentication secrets te verkrijgen. Zulke informatie kan een aanval aanzienlijk versnellen, omdat het authenticatiebarrières verzwakt.
Hitachi Energy: bevestigd getroffen door PHP2Shell
Tot slot heeft Hitachi Energy bevestigd dat ten minste één van zijn producten is beïnvloed door de PHP2Shell-kwetsbaarheden. Dit bevestigt opnieuw dat leveranciers soms dezelfde onderliggende componenten gebruiken, waardoor hetzelfde aanvalsprincipe meerdere productlijnen raakt.
Wat je nu kunt doen (praktisch stappenplan)
Omdat patches niet altijd direct beschikbaar zijn en sommige versies mogelijk niet worden gefixt, is het verstandig om meteen een korte, maar gerichte routine te draaien.
- Inventariseer versies van de relevante Siemens-, Schneider Electric-, VDE CERT-vendor en overige componenten die in jouw omgeving draaien.
- Check Node2Shell en PHP2Shell in de bijbehorende advisories en koppel dit aan de gebruikte softwarestack.
- Voer mitigaties uit waar patches ontbreken of voor versies zonder fix, volgens de vendorrichtlijnen.
- Beoordeel blootstelling rond bestandverwerking (zoals Rapsody) en integratiepunten waar externe of gestructureerde input wordt verwerkt.
- Verhoog monitoring rond relevante componenten. Als er exploitpogingen zijn gesignaleerd, is vroeg detecteren extra waardevol.
Als je daarnaast breder inzicht wilt in hoe leveranciers en teams omgaan met supply-chain en softwarecomponenten in beveiliging, sluit dit achtergrondstuk mogelijk aan: Software transparency: SBOM, AI BOMs en VEX uitgelegd. Ook al gaat dat artikel over andere context, de onderliggende gedachte — weten welke componenten waar draaien — is hetzelfde.
Conclusie: pak ICS Patch Tuesday meteen aan
ICS Patch Tuesday laat zien dat industriële omgevingen niet geïsoleerd zijn van kwetsbaarheden die via platforms, runtimes en afhankelijkheden naar voren komen. Siemens’ advisories rond Node2Shell, plus de meerdere hoge ernst issues in diverse OT-producten, vragen om snelle risicobeoordeling. Ook Schneider Electric en andere leveranciers dragen bij met eigen kwetsbaarheden en impactberekeningen.
Het belangrijkste signaal is duidelijk: als patches nog ontbreken of bepaalde versies geen fix krijgen, moeten mitigaties en inventarisatie nu centraal staan. Door gericht te handelen op basis van de advisories beperk je de kans op code-executie, datalekken en systeemcompromittering in jouw industriële omgeving.
