CISA 发布工控安全通告 ICSA-26-281-02，通报 Grid Protection Alliance 旗下电网数据平台 openPDC 与 openHistorian 存在五个漏洞，其中编号 CVE-2026-100730 的反序列化缺陷在未启用 Windows 认证时可被未认证远程利用，直接导致服务账户权限下的远程代码执行。这两个组件广泛部署于电力系统的相量测量与历史数据采集环节，属于典型的关键基础设施 OT 资产。
事件概述
通告披露的五个漏洞覆盖反序列化、硬编码凭据、缺失认证、服务端请求伪造与不安全反射等类型。受影响版本为 openPDC 2.9.482 之前、openHistorian 2.8.585 之前，以及发布了镜像的 openPDC Docker 版本。厂商已给出修复版本，但部分修复依赖手动调整绑定配置，Docker 镜像的修复则尚未发布，官方建议在正式修复前不要让该镜像继续在生产环境运行。
技术细节
CVE-2026-100730（CVSS 9.8）：openPDC 与 openHistorian 的服务控制台接口会反序列化客户端提交的数据结构。若目标未启用 Windows 认证，该接口直接暴露给网络侧的未认证攻击者；若启用了 Windows 认证，则需要先取得认证才能触达。攻击者发送特制序列化对象即可触发任意对象图反序列化，进而在受影响服务账户权限下执行代码，对应 CWE-502。
CVE-2026-105278（CVSS 9.8）：openPDC 已发布的 Docker 镜像内置了固定的管理员账号与口令，且首次登录不强制修改，任何能访问镜像的网络攻击者都可直接取得完全管理权限，对应 MITRE ATT&CK for ICS 的 T1694.002（硬编码凭据）。
CVE-2026-105281（CVSS 7.5）：默认配置下内部数据发布器接受网络连接而不做认证，未认证攻击者可直接拉取完整的设备与测量拓扑，等于拿到一张电网量测仪表的清单与点位图。
此外，CVE-2026-101022 属于 Modbus 相关的服务端请求伪造，可将服务器变成探测内网的跳板；CVE-2026-104629 则是不安全反射，可将磁盘上的文件转化为可执行代码。
影响评估
需要注意 PDC 与 historian 并非现场终端设备，而是运行在服务器上、以共享数据为核心职责的组件。分析人员要趋势数据、工程工具要事件数据、其他应用要订阅数据流，每一类消费者都是一条通往服务控制台的路径。两条主要攻击链——服务控制台反序列化与 Docker 硬编码凭据——都只依赖一个前提：网络可达。CISA 未记录在野利用，但该组件处于 OT 网络的核心位置，一旦失守，电网量测数据与拓扑信息的外泄、乃至运行干扰都难以排除。
修复建议
- 将 openPDC 升级至 2.9.482、openHistorian 升级至 2.8.585。
- 检查内部与 STTP 发布器的监听绑定，非远程订阅场景改为仅监听回环地址，并确认绑定变更对已有安装生效。
- 对 Modbus 相关功能加防火墙策略，除确有需要外阻断指向回环与 RFC 1918 地址段的访问。
- 不要把已发布的 Docker 镜像继续用于生产，按厂商建议迁移到受支持部署方式。
- 将服务控制台与数据发布器限制在可信网段，按最小权限授权并保留访问日志。