Badacze zidentyfikowali ponad 8500 systemów powiązanych z europejskimi farmami wiatrowymi i fotowoltaicznymi, które były dostępne bezpośrednio z Internetu. W części przypadków były to interfejsy pozwalające zarówno monitorować instalację, jak i nią sterować.
Citrix potwierdził z kolei aktywne wykorzystywanie krytycznych podatności w NetScaler. Po przejęciu urządzeń napastnicy uzyskiwali dostęp root, instalowali webshelle i tworzyli tunele do sieci wewnętrznych.
Do tego operacja Flax Typhoon przeciw infrastrukturze krytycznej oraz nowe zalecenia NSA dotyczące stosowania Zero Trust bezpośrednio w środowiskach OT.
Wydarzenia i analizy
1. Ponad 8500 systemów europejskich farm wiatrowych i fotowoltaicznych dostępnych z Internetu
Modat przeanalizował ekspozycję infrastruktury energetyki odnawialnej w Europie i zidentyfikował 8547 systemów, które można było jednoznacznie powiązać z działającymi farmami wiatrowymi i fotowoltaicznymi w 35 państwach. Były wśród nich panele administracyjne, systemy pojedynczych turbin oraz interfejsy zarządzające większymi fragmentami farm.
W jednym z opisanych przykładów dostępny z Internetu interfejs turbiny zawierał aktywne funkcje Start, Stop i Reset. Według informacji przekazanych Reutersowi w około 181 lokalizacjach możliwe mogło być uzyskanie pełnej kontroli operacyjnej.
8547 to liczba systemów dostępnych z Internetu, a nie przejętych instalacji. Badanie dotyczy skali ekspozycji systemów sterowania i zarządzania, nie liczby rzeczywistych cyberataków.
Źródła: Modat – To See the Wind and the Sun · Reuters
2. Citrix NetScaler: aktywnie wykorzystywane podatności dają dostęp root i do sieci wewnętrznych
Citrix potwierdził aktywne wykorzystywanie CVE-2026-88771 i CVE-2026-88772 w NetScaler ADC i Gateway. Obie podatności można wykorzystać zdalnie bez wcześniejszego uwierzytelnienia, a skuteczny atak może prowadzić do wykonania kodu na urządzeniu.
Mandiant obserwował przypadki, w których po przejęciu NetScalera napastnicy uzyskiwali dostęp root, instalowali webshelle i tworzyli tunele do sieci wewnętrznych. W co najmniej jednym incydencie taki kanał posłużył później do rozpoznania środowiska i pozyskiwania danych uwierzytelniających.
NetScaler Gateway może obsługiwać zdalny dostęp oraz korzystać z poświadczeń LDAP, RADIUS, TACACS, certyfikatów i kluczy SSH. Jeśli chodzi o OT, takie urządzenie może być jednym z punktów wejścia do środowiska, a jego przejęcie może dać napastnikowi dostęp do kolejnych segmentów sieci.
Źródła: Citrix – Security Bulletin · Mandiant / Google Threat Intelligence Group
3. USA zakłócają infrastrukturę Flax Typhoon
Departament Sprawiedliwości i FBI przejęły siedem domen związanych z narzędziami Microscan i FishHub wykorzystywanymi przez chińską Integrity Technology Group. Według władz USA działalność ta odpowiada operacjom określanym w sektorze prywatnym jako Flax Typhoon.
Microscan służył do masowego wyszukiwania podatnych systemów. Wśród wskazanych celów znalazły się m.in. amerykańska firma energetyczna, tajwańskie przedsiębiorstwa infrastruktury krytycznej oraz lotniska w Japonii i Polsce. FishHub służył m.in. do phishingu i dalszych działań po uzyskaniu dostępu.
Nie ma publicznego potwierdzenia manipulacji systemami sterowania ani zakłócenia produkcji. Z punktu widzenia OT interesująca jest tutaj skala rozpoznania infrastruktury krytycznej i wyszukiwania urządzeń, które mogą później posłużyć jako punkt wejścia.
Źródła: U.S. Department of Justice · NSA
4. NSA publikuje Zero Trust przygotowany bezpośrednio dla OT
NSA opublikowała nowe zalecenia dotyczące stosowania zasad Zero Trust w środowiskach OT. Dokument zakłada, że kompromitacja jest możliwa lub już nastąpiła, a użytkownicy, urządzenia, procesy i komunikacja powinny podlegać ciągłej weryfikacji.
Dużo miejsca poświęcono ograniczaniu ruchu bocznego i możliwości utrzymywania dostępu po początkowej kompromitacji. Dokument uwzględnia również starsze systemy OT, w których mechanizmów znanych z nowoczesnego IT nie zawsze da się wdrożyć bezpośrednio.
Zalecenia przygotowano z uwzględnieniem ograniczeń i wymagań środowisk operacyjnych.
Źródło: NSA – Zero Trust Guidance for Protecting Operational Technology Systems
Podatności i ostrzeżenia
1. Citrix NetScaler – kolejna krytyczna podatność w mechanizmie SAML
8 października Citrix opublikował informację o kolejnej podatności NetScaler ADC i Gateway – CVE-2026-107406. Problem dotyczy konfiguracji, w których urządzenie pracuje jako dostawca lub dostawca tożsamości SAML, i może prowadzić do zdalnego wykonania kodu albo DoS bez wcześniejszego uwierzytelnienia.
Podatność otrzymała CVSS 9.5. Na 11 października nie ma potwierdzenia jej aktywnego wykorzystania. Jest to więc inny przypadek niż opisane wcześniej CVE-2026-88771 i CVE-2026-88772, które są już wykorzystywane w rzeczywistych atakach.
Citrix udostępnił poprawione wersje oprogramowania.
Źródło: Citrix CTX697191
2. SonicWall SMA1000 – pre-authentication SSRF w platformie zdalnego dostępu
CVE-2026-102255 dotyczy urządzeń SonicWall SMA1000 i może zostać wykorzystana zdalnie bez uwierzytelnienia. Podatność SSRF umożliwia wykonywanie żądań do funkcji dostępnych wewnątrz urządzenia i potencjalne prowadzenie nieautoryzowanych operacji.
Problem otrzymał CVSS 10.0. Producent informuje jednak, że nie ma obecnie dowodów na jego aktywne wykorzystanie. W środowiskach przemysłowych SMA może pełnić rolę platformy zdalnego dostępu, dlatego właśnie ta funkcja ma tutaj największe znaczenie.
SonicWall udostępnił poprawione wersje 12.4.3-03670 i 12.5.0-03082 lub nowsze.
Źródło: SonicWall SNWLID-2026-0017
