🛡 Наши эксперты помогли закрыть девять уязвимостей в контроллерах отечественного производителя оборудования для АСУ ТП Fastwel

Максим Грузин, Илья Бублий, Константин Максимов, Иван Тараканов и Илья Рогачев обнаружили недостатки безопасности в программируемых логических контроллерах (ПЛК) CPM723-01 и CPM810-03.

Оба ПЛК внесены в реестр российской промышленной продукции и используются в нефтегазовой и железнодорожной отраслях, электроэнергетике, судостроении, металлургии, добывающей промышленности, коммунальном хозяйстве.

⚠️ Чем опасны уязвимости

Эксплуатация ошибок PT-2025-40257—PT-2025-40265 (BDU:2025-11164—BDU:2025-11172, от 8,3 до 9,4 балла по шкале CVSS 4.0), которыми мог воспользоваться как внутренний, так и внешний нарушитель, имеющий доступ к оборудованию, теоретически привела бы к существенным сбоям.

🔴 Самые опасные уязвимости — PT-2025-40257–PT-2025-40260 позволяли выполнить произвольный код в операционной системе контроллера.

🔴 Недостатки безопасности PT-2025-40261–PT-2025-40265 могли стать первым шагом к компрометации устройств (получению прав администратора, получению полного контроля над ПЛК, похищению данных пользователей и пр.)

👾 Как защититься

Fastwel оперативно выпустила обновления безопасности для обоих ПЛК, компаниям, которые пользуются уязвимым оборудованием, нужно обновить CPM723-01 до версии 3.4.9.5 и CPM810-03 — до версии 3.4.5.1.

«Снизить вероятность атаки с использованием подобных ошибок, а также уменьшить ее поверхность помогут сегментация сети компании и ограничение доступа к локальной вычислительной сети АСУ ТП», — рекомендует специалист группы экспертизы АСУ ТП Максим Грузин.

Также эксперт советует отключить веб-конфигуратор контроллера и неиспользуемые сетевые сервисы, заменить все пароли по умолчанию на сложные и убедиться, что доступ к ПЛК есть только у тех сотрудников, которым он действительно необходим.

Подробности об уязвимостях ищите в новости на сайте и на портале dbugs.

#PositiveЭксперты
@Positive_Technologies

Мы обновили PT Dephaze — систему для безопасных автопентестов внутренней инфраструктуры 🧤

Теперь продукт показывает реальный путь хакера до целевых систем и выявляет среди тысяч недостатков безопасности десятки действительно опасных цепочек атак.

Это позволяет специалистам сосредоточиться на устранении только тех проблем, которые могут привести к непоправимому ущербу для бизнеса.

Также новая версия поддерживает тестирование десятков тысяч узлов, обеспечивая полный охват корпоративной сети.

🫤 А еще были расширены векторы атак для Linux-систем, сетевых принтеров, систем резервного копирования и системы управления правами доступа Active Directory. Все найденные логины и пароли привязываются к конкретным атакам, что упрощает поиск и устранение уязвимых мест.

Продукт применяет те же инструменты и методы, которые встречаются у хакеров при кибератаках. Только используются они абсолютно безопасно для инфраструктуры: можно регулировать интенсивность и тип атак, а также исключать из проверки критически важные бизнес-системы. При этом любые потенциально опасные действия требуют обязательного ручного согласования перед выполнением.

👋 Ярослав Бабин, директор по продуктам для симуляции атак, Positive Technologies, отметил:

«Мы уделяем большое внимание обратной связи от клиентов, и новая версия — это прямой отклик на их ключевой запрос: полная прозрачность работы системы. Теперь специалисты видят не просто результат, а каждый этап автопентеста: какие атаки выполняются и какие конкретные доказательства компрометации получены. Это дает абсолютное понимание реальных угроз и способов их устранения».

Главная задача инструмента — предоставить специалистам по кибербезопасности наглядные доказательства возможного взлома, которые помогут ИТ-командам приоритизировать задачи по исправлению критических недостатков в инфраструктуре и оперативно устранить их.

😈 Попробовать PT Dephaze в действии можно оставив заявку на нашем сайте.

#PTDephaze
@Positive_Technologies

✋🤚 Давайте вместе делать лучше первое в России опенсорсное решение для защиты рантайма контейнерных сред

Помните, мы совсем недавно рассказывали, что выложили на GitHub наш Runtime Radar, созданный на основе технологий eBPF и Tetragon, под лицензией Apache 2.0?

👍 Новость вызвала столько интереса, что ее репостнули рекордное количество раз что мы решили поговорить обо всем подробнее на вебинаре 11 ноября в 14:00.

Команда поделится историей создания продукта, расскажет о его возможностях, параметрах и планах по развитию, в которых может поучаствовать каждый (даже если вы не разработчик).

🙂 Регистрируйтесь и приходите, чтобы узнать:

• как Runtime Radar помогает обнаруживать угрозы в реальном времени и расследовать инциденты в Kubernetes;

• как настроить централизованный мониторинг нескольких кластеров и интеграцию в существующий SOC;

• какие типы атак и аномалий можно отследить с помощью продукта;

• как начать использовать инструмент в своей инфраструктуре без долгой настройки.

Вы вживую увидите, как работать с Runtime Radar, поймете, как кастомизировать его под свои нужды, а может, даже станете автором крутой идеи доработки.

Безопасность контейнеров — общее дело, ждем всех, кто готов внести в него свой вклад. Тех, кому пока просто интересно, ждем тоже!

@Positive_Technologies

👍 Любите кодить и решать задачи? Тогда мы идем к вам!

Идем, чтобы позвать на олимпиаду по программированию для разработчиков и студентов технических направлений, которая пройдет 29 ноября. Язык и стек неважны, а вот умение находить нестандартные решения — еще как!

Рассказываем, что дальше, если вы в деле.

1️⃣ Подать заявку до 28 ноября включительно (и можно сразу подписаться на Telegram-канал олимпиады, чтобы отслеживать все новости).

2️⃣ По желанию — 21 ноября в 12:00 подключиться к тренировке и порешать алгоритмические задачи.

3️⃣ В день олимпиады попробовать одолеть все семь задач за три часа — онлайн или очно, в арт-пространстве «Котельная» на «Хлебозаводе № 9».

4️⃣ Успеть 1 декабря в 11:00 на онлайн-разбор задачек полетов.

5️⃣ Победить и получить приз: 300 000 ₽ за первое место, 200 000 ₽ за второе и 100 000 ₽ — за третье.

А если приз не достанется, вы все равно в выигрыше: отлично проведете время, поработаете над собой своими навыками и вольетесь в комьюнити энтузиастов.

Присоединяйтесь и зовите друзей!

@Positive_Technologies