2026年7月14日，西门子ProductCERT发布安全公告SSA-096828，披露其制造运营管理平台Opcenter X存在严重身份验证绕过漏洞，编号CVE-2026-56451。该漏洞CVSS v3.1和v4.0评分均为10.0（严重），是工业控制系统领域近年来评分最高的漏洞之一。
事件概述
Opcenter X是西门子旗下的云端制造运营管理（MOM）平台，用于协调多个工厂的生产数据、质量管理和制造执行。该平台在全球制造业广泛部署，涉及汽车、电子、制药、食品饮料等关键行业。
此次披露的漏洞源于应用程序未能正确验证JWT（JSON Web Token）头部中声明的算法。攻击者可通过构造特制的JWT令牌，绕过完整的身份验证机制，冒充包括管理员在内的任意用户账户，获得对应用程序的完全未授权访问。
技术细节
漏洞根因
该漏洞被归类为CWE-347：加密签名验证不当。受影响的应用程序在解析JWT时，接受攻击者控制的算法选择参数，而非强制使用服务端配置的签名算法。这导致攻击者可以：
- 将JWT头部算法声明修改为
none或弱签名算法 - 移除或伪造签名部分
- 构造完全有效的伪造令牌
- 冒充任意用户身份，包括具有最高权限的管理员账户
攻击向量
| 属性 | 详情 |
|---|---|
| 攻击向量 | 网络（AV:N） |
| 攻击复杂度 | 低（AC:L） |
| 权限需求 | 无（PR:N） |
| 用户交互 | 无（UI:N） |
| 作用域 | 变更（S:C） |
| 机密性影响 | 高（C:H） |
| 完整性影响 | 高（I:H） |
| 可用性影响 | 高（A:H） |
影响评估
- 影响版本：所有低于V2604的Opcenter X版本
- 利用门槛：极低——无需认证、无需用户交互、可远程利用
- 实际危害：攻击者可完全控制制造运营平台，访问敏感生产数据、修改工艺参数、中断生产流程
- 威胁情报：目前由西门子内部发现，尚未发现公开PoC或野外利用，但10.0评分的漏洞通常会被快速武器化
修复建议
紧急行动
- 立即升级：将Opcenter X更新至V2604或更高版本，这是当前唯一有效的修复方案
- 网络隔离：在升级完成前，通过防火墙限制Opcenter X的网络访问，仅允许可信主机连接
- 审计日志：检查平台访问日志，寻找异常的JWT使用模式或未授权的管理员操作
长期加固
- 遵循西门子工业安全操作指南配置IT环境
- 对工业云平台实施多因素认证（MFA），不依赖单一JWT验证
- 定期轮换API密钥和访问令牌
- 将生产网络与办公网络物理或逻辑隔离