工业控制系统 - 卫方智能网络安全资讯平台

Kiloview E3 编码器九漏洞：两枚 9.9 直达 root

2026年10月24日作者卫方智能

CISA 披露 Kiloview E3 NDI 编码器九个漏洞，两枚命令注入 CVSS 9.9 可执行 root 命令，另有全设备共用的令牌签名密钥，可伪造管理员身份。固件 V1.30 一次性修复。

2026年10月21日作者卫方智能

西门子确认 CVE-2026-110936 已被 ROMULUS ClickFix 活动利用：攻击者不修改程序，而是把带正规签名的旧版 Software Center 与恶意 archive.dll 打包分发，用户不装西门子软件也可能中招。

2026年10月19日作者卫方智能

三菱电机 10 月 15 日公告 ICONICS Suite 四个漏洞，最高 CVSS 4.0 9.4，涉及 DCOM 默认权限、libwebp 越界写与固定挑战应答；MC Works64、GENESIS32、BizViz 不再提供补丁。

2026年10月13日作者卫方智能

10 月 11 日夜间，法国多家连锁超市制冷系统被远程攻击，黑客启动强制除霜并把温度设定抬高到 50 摄氏度，数百家门店生鲜报废，全国损失预估达数千万欧元。

2026年10月11日作者卫方智能

CISA 发布 ICSA-26-281-02，通报电网监测平台 openPDC/openHistorian 五个漏洞，含 CVE-2026-100730 未认证反序列化 RCE 与 Docker 镜像硬编码管理员凭据，均为 CVSS 9.8，官方已给出修复版本。

2026年9月30日作者卫方智能

Ridge Security 披露 TDengine 时序数据库整数下溢漏洞 CVE-2026-42542，未认证攻击者向默认端口 6030 发送单个畸形包即可打崩服务端。影响 3.4.0.0 至 3.4.1.5，官方已在 3.4.1.6 修复，全球约 73 万实例受波及。

2026年9月26日作者卫方智能

霍尼韦尔 PD45 工业打印机 Web 管理界面存在未认证任意文件上传缺陷，攻击者无需凭据即可上传恶意文件并执行系统命令，CVSS 9.8。受影响固件为 F10.19.010040，需升级至 F10.22.030745 以上。

2026年9月17日作者卫方智能

CISA 发布多份 ICS 通告：Digital Watchdog VMAX 系列 DVR/NVR 存在 6 个漏洞，两个 CVSS 9.6，含硬编码凭证与 root 级命令执行；Wärtsilä FOS-Onboard 船舶系统存在硬编码加密密钥。

2026年9月10日作者卫方智能

西门子 ProductCERT 披露 CVE-2026-18963 与 CVE-2026-50093，分别致 Industrial Edge Management 账户接管与 Siveillance Control root 权限失陷。