西門子於上週告知用戶，其SINUMERIK數控系統被安全研究人員確認受到10個安全漏洞的影響，包括拒絕服務（DOS）、特權提升和代碼執行漏洞。其中，有四個漏洞的安全風險等級均被評定爲“Critical（緊急）”。
據稱，這些漏洞是由卡巴斯基實驗室的研究人員發現的，它們分別存在於SINUMERIK 808D、828D和840D數控系統（其中部分產品已停產）中。
最嚴重的一個漏洞CVSS得分爲10，其編號爲CVE-2018-11466，允許***者執行在SINUMERIK數控系統集成的防火牆上觸發DOS***條件，或在防火牆環境中執行任意代碼。值得注意的是，未經身份驗證的***者可以在沒有用戶交互的情況下利用該漏洞，而***者所需要做的就是將自定義的數據包發送給TCP端口102。
另一個Critical漏洞是CVE-2018-11457 ，它會影響SINUMERIK數控系統集成的Web服務器，***者可以通過將自定義的數據包發送給TCP端口4842來利用它，以執行用於提升權限的代碼。但西門子指出，只有在防火牆配置中手動打開該端口時，才能夠對該漏洞進行利用。
SINUMERIK數控系統集成的VNC服務器則受到另一個Critical漏洞的影響，該漏洞允許***者通過將自定義的數據包發送給TCP端口5900，以提升後的權限來執行任意代碼。這個漏洞被追蹤爲CVE-2018-11458。
由卡巴斯基實驗室研究人員在SINUMERIK數控系統中發現的最後一個Critical漏洞是CVE-2018-11462，它可以用來提升權限，但不能提升爲root權限。
西門子表示，其SINUMERIK數控系統也受到三個允許本地代碼執行的高危（High）漏洞，以及三個中危（Medium）漏洞的影響，這些漏洞可用於特權提升和DoS***。
西門子還表示，他們到目前爲止還沒有發現針對這些漏洞的惡意***。目前，這家德國工業巨頭已經爲每一個受影響的數控系統發佈了安全補丁和緩解方案。
該公司在最近宣佈，它計劃於每月第二個週二定期發佈安全公告，類似於微軟、Adobe和SAP的“週二補丁日”。