Klucz, którym sterowniki Rockwell Logix weryfikują oprogramowanie inżynierskie, da się poznać. Napastnik z dostępem do sieci może zmienić program maszyny. Poprawki nie ma, CISA potwierdza ataki. Odetnij sieć hali od biura i internetu.
Ten alert jest dla zarządu, CTO, CFO i kierowników produkcji w zakładach, które mają na hali sterowniki Rockwell Automation z rodziny Logix. Werdykt: poprawki nie ma i nie będzie, więc sprawdź dziś, czy do sieci sterowników da się dostać z sieci biurowej lub z internetu, a jeśli tak, odetnij ten dostęp, bo CISA potwierdza wykorzystanie tej luki w atakach.
Amerykańska agencja CISA 5 marca 2026 roku dopisała podatność CVE-2021-22681 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. To błąd opisany już w 2021 roku w ostrzeżeniu przemysłowym CISA ICSA-21-056-03, który po pięciu latach znalazł zastosowanie u atakujących.
Sterowniki Logix i oprogramowanie inżynierskie Rockwella posługują się kluczem, który ma potwierdzać, że ze sterownikiem rozmawia prawdziwe narzędzie producenta. Ten klucz da się poznać. Osoba z dostępem sieciowym do sterownika, bez konta i bez udziału pracownika, może więc podszyć się pod uprawnione oprogramowanie i zmienić konfigurację lub program, który prowadzi maszynę. Rockwell ustalił, że tej usterki nie da się usunąć poprawką. Termin CISA minął 26 marca 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2021-22681 |
Data dodania do CISA KEV | 2026-03-05 |
Termin naprawy wg CISA | 2026-03-26 (21 dni od wpisu) |
Produkt | Rockwell Automation: oprogramowanie Studio 5000 Logix Designer, RSLogix 5000, FactoryTalk Security oraz sterowniki Logix |
Wersje zagrożone | RSLogix 5000 wersje 16 do 20; Studio 5000 Logix Designer wersja 21 i nowsze; FactoryTalk Services Platform 2.10 i nowsze (FactoryTalk Security, jeśli skonfigurowane i wdrożone). Sterowniki: CompactLogix 1768, 1769, 5370, 5380, 5480; ControlLogix 5550, 5560, 5570, 5580; DriveLogix 5560, 5730, 1794-L34; Compact GuardLogix 5370, 5380; GuardLogix 5570, 5580; SoftLogix 5800. Atak wymaga dostępu sieciowego do sterownika |
Wersje bezpieczne | Brak. Producent ustalił, że luki nie da się usunąć poprawką, i zaleca obronę wielowarstwową: CIP Security, przełącznik trybu w pozycji Run, blokadę portu TCP 44818 spoza strefy przemysłowej; dla ControlLogix 5580 w wersji 31 oraz 5570 w wersji 31 i nowszych moduł 1756-EN4TR z CIP Security |
Typ podatności | Obejście uwierzytelnienia przez niedostatecznie chronione poświadczenia; CWE-522 |
Ocena CVSS | CISA (ostrzeżenie ICSA-21-056-03): 10.0 KRYTYCZNA (CVSS 3.x, skutek wychodzi poza sterownik). NVD: 9.8 KRYTYCZNA (CVSS 3.1) oraz 7.5 (CVSS 2.0). Atak przez sieć, bez logowania i bez udziału użytkownika |
Wyobraź sobie szafę z dokumentacją technologiczną, do której wpuszcza się tylko osoby z firmowym identyfikatorem. Wszystkie identyfikatory we wszystkich zakładach na świecie mają jednak ten sam wzór hologramu, a ktoś ten wzór opisał. Kto go skopiuje, wchodzi jak swój, a strażnik nie ma jak odróżnić prawdziwego technologa od obcego. Wymienić hologramu się nie da, bo trzeba by wymienić wszystkie czytniki na świecie.
Tak jest z tą luką. Sterownik programowalny to skrzynka w szafie elektrycznej, która decyduje, kiedy silnik rusza, a zawór się otwiera. Program wgrywa się do niej z komputera automatyka. Klucz, który miał potwierdzać, że to prawdziwe oprogramowanie Rockwella, da się poznać, więc „obcy program” może przedstawić się sterownikowi jako uprawniony i zmienić to, co sterownik wykonuje. Nie chodzi o wyciek pliku, tylko o cudzą zmianę w programie maszyny.
💡 Sterownik PLC to przemysłowy komputer sterujący maszyną lub linią. CIP Security to rozszerzenie standardu komunikacji EtherNet/IP (organizacja ODVA), które wprowadza szyfrowanie i uwierzytelnianie bez zaszytego klucza. Port TCP 44818 to „drzwi sieciowe”, przez które sterowniki Rockwella się komunikują. Segmentacja sieci to oddzielenie sieci hali od sieci biurowej.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Automatyk wgrywa zmianę programu | Tylko z uprawnionego oprogramowania | Obcy program też może się podłączyć i wgrać zmiany |
Komputer biurowy zainfekowany wirusem | Nie ma nic wspólnego z halą | Jeśli sieci nie są oddzielone, może stać się drogą do sterowników |
Zmiana czasów w programie linii | Świadoma decyzja technologa | Cicha zmiana, widoczna dopiero w wadliwym produkcie |
Przełącznik trybu sterownika | Często zostawiony w pozycji Remote dla wygody | Pozycja Run utrudnia zmiany programu na odległość |
Wykrycie zmiany | Automatyk wie, co zmieniał | Bez dziennika zmian i kopii programu brak punktu odniesienia |
źródło: Pexels, Yetkin AğaçPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak wymaga dostępu sieciowego do sterownika, więc w zakładzie z dobrze oddzieloną siecią hali napastnik musi najpierw dostać się do niej, np. przez komputer biurowy, zdalny dostęp serwisanta albo sterownik wystawiony do internetu. CISA ocenia, że atak da się zautomatyzować.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wejście do sieci | T+0 | Przejęcie komputera biurowego, konta zdalnego dostępu serwisu lub znalezienie sterownika dostępnego z internetu | Napastnik w sieci, z której widać sterowniki |
2. Rozpoznanie | T+1 do 3 dni | Wyszukanie urządzeń odpowiadających na porcie TCP 44818 i ustalenie ich modeli | Lista sterowników Logix |
3. Podszycie się | T+minuty od rozpoznania | Połączenie ze sterownikiem z użyciem poznanego klucza, jako rzekome oprogramowanie Rockwella | Pełny dostęp do konfiguracji i programu |
4. Zmiana programu | T+godziny | Odczyt lub modyfikacja logiki sterowania, parametrów, blokad | Maszyna działa inaczej, niż zaprojektowano |
5. Skutek fizyczny | T+godziny do dni | Wadliwa produkcja, zatrzymanie linii, uszkodzenie urządzeń | Przestój, straty materiałowe, zagrożenie bezpieczeństwa |
6. Szantaż lub zatarcie śladów | T+dni | Żądanie okupu za przywrócenie działania lub pozostawienie zmian niezauważonymi | Długie odtwarzanie i niepewność co do stanu programu |
W biurze skutkiem ataku jest zwykle utrata danych. Na hali skutkiem jest fizyczna zmiana pracy maszyn: wadliwy produkt, zatrzymana linia, a w skrajnym przypadku zagrożenie dla ludzi. Brak poprawki oznacza, że jedyną ochroną jest odcięcie dostępu sieciowego i wykrywanie zmian.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zatrzymanie linii, wadliwe partie, praca automatyka przy porównywaniu i odtwarzaniu programów | Godziny do dni | 50 tys. do 500 tys. PLN (przestój, zmarnowany surowiec) |
Bezpieczeństwo danych | Kradzież programów sterujących i receptur technologicznych | Dni | 20 tys. do 150 tys. PLN (analiza, odtwarzanie) |
Finansowy | Kary umowne za niedostarczone zamówienia, wycofanie produktu, ewentualny okup | Dni do tygodni | 100 tys. do 1 mln PLN łącznie |
Reputacyjny | Reklamacje klientów, utrata zaufania sieci handlowych i odbiorców przemysłowych | Tygodnie do miesięcy | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Odpowiedzialność za wadliwy produkt i bezpieczeństwo pracy; przy wycieku danych osobowych obowiązek zgłoszenia do UODO w 72 godziny i możliwa kara RODO do 20 mln EUR lub 4% obrotu | Dni do miesięcy | 20 tys. do 200 tys. PLN (obsługa prawna, audyty), bez ewentualnych kar |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla zakładu ze sterownikami Logix
Wpływ
5 | . . ■ . ■ ← ■ po prawej: sieć hali osiągalna
4 | . . . . . z biura lub internetu (KRYTYCZNE)
3 | . . . . . ← ■ w środku: sieć hali oddzielona,
2 | . . . . . dostęp tylko lokalny (WYSOKIE)
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest najwyższy, bo chodzi o przejęcie sterowania maszyną, a luki nie da się załatać; o prawdopodobieństwie decyduje to, czy do sieci sterowników da się dostać spoza hali, i to jest główna dźwignia, którą firma ma w rękach.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić, czy do sieci ze sterownikami da się dostać z sieci biurowej, z Wi-Fi lub z internetu | Dziś | Administrator sieci / automatyk |
2 | 🔴 NATYCHMIAST | Zablokować ruch na porcie TCP 44818 przychodzący spoza strefy przemysłowej (zalecenie producenta) | Dziś | Administrator sieci |
3 | 🔴 NATYCHMIAST | Zrobić kopię aktualnych programów wszystkich sterowników i przechowywać ją poza komputerem automatyka | Dziś | Automatyk |
4 | 🟠 PILNIE | Spisać sterowniki: lokalizacja, rodzina, wersja firmware, kto ma do nich dostęp | Do 3 dni | Automatyk / kierownik utrzymania ruchu |
5 | 🟠 PILNIE | Ustawić przełączniki trybu sterowników w pozycji Run tam, gdzie nie trwają prace programistyczne (zalecenie producenta) | Do 3 dni | Automatyk |
6 | 🟠 PILNIE | Przejrzeć zdalne dostępy serwisowe do sieci maszyn, wyłączyć stałe, włączać tylko na czas serwisu | Do 7 dni | CTO / kierownik utrzymania ruchu |
7 | 🟡 WAŻNIE | Włączyć wykrywanie zmian: Controller Log (od wersji 17), Change Detection (od wersji 20) lub FactoryTalk AssetCentre | Do 30 dni | Automatyk |
8 | 🟡 WAŻNIE | Zaplanować wdrożenie CIP Security, a dla ControlLogix 5570/5580 w wersji 31 moduł 1756-EN4TR | Do 90 dni | CTO / integrator |
W tym przypadku aktualizacji nie ma i nie będzie: producent wprost zaleca środki zamiast poprawki. Dla SoftLogix 5800 producent nie wskazał dodatkowego środka poza ogólnymi wytycznymi segmentacji sieci (Converged Plantwide Ethernet). Oceny efektywności poniżej to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Oddzielenie sieci hali od biura i internetu (segmentacja) | Wysoka: usuwa dostęp sieciowy, którego wymaga atak | Średnia: wymaga zmian w sieci i uzgodnień z produkcją |
Blokada portu TCP 44818 spoza strefy przemysłowej | Wysoka dla ataków spoza hali | Łatwa do średniej |
CIP Security (szyfrowanie TLS/DTLS bez zaszytego klucza) | Wysoka | Trudna: wymaga zgodnego sprzętu i konfiguracji |
Przełącznik trybu w pozycji Run | Średnia: utrudnia zmiany programu na odległość | Łatwa, ale uciążliwa przy częstych zmianach |
Wykrywanie zmian (Controller Log, Change Detection, AssetCentre) | Niska jako ochrona, wysoka do wykrycia | Średnia |
Kopie programów poza stacją inżynierską | Nie zapobiega, skraca odtwarzanie | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Dostęp do sterowników | Możliwy z sieci biurowej lub od serwisu na stałe | Tylko ze strefy przemysłowej, serwis na czas prac |
Wiedza o sterownikach | Rozproszona w głowie automatyka | Spis z lokalizacją, modelem i wersją |
Kopie programów | Tylko na laptopie automatyka albo brak | Aktualne kopie w bezpiecznym miejscu |
Wykrywanie zmian | Brak | Dziennik zmian i powiadomienia |
Tryb sterowników | Remote dla wygody | Run poza oknami prac |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Ocena SSVC CISA: wykorzystanie aktywne, atak automatyzowalny, wpływ techniczny całkowity. Baza ENISA (EUVD-2021-9817) wskazuje 5 marca 2026 jako początek wykorzystywania |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 10.0 KRYTYCZNA wg CISA (ICSA-21-056-03); 9.8 KRYTYCZNA wg NVD (CVSS 3.1) |
PoC dostępny publicznie? | Brak publicznych informacji w źródłach |
Liczba atakowanych firm | Brak publicznych informacji |
Kto zgłosił błąd | Niezależnie: Soonchunhyang University, Kaspersky oraz Sharon Brizinov i Tal Keren (Claroty) |
Prognoza EPSS | Około 61% szansy wykorzystania w ciągu 30 dni (23 sierpnia 2026), górny 1% podatności (wg analizy źródłowej) |
Dwie oceny CVSS różnią się jednym elementem: CISA uznała, że przejęcie sterownika wychodzi poza samo urządzenie i uderza w maszynę i proces, a NVD potraktowała skutek jako zamknięty w sterowniku. W zakładzie z maszynami rozsądnie przyjąć wyższą ocenę.
Sygnały zagrożenia dla CVE-2021-22681
CVSS 3.x (CISA ICS) 10.0/10 ████████████████████ KRYTYCZNA
CVSS 3.1 (NVD) 9.8/10 ████████████████████ KRYTYCZNA
EPSS (sierpień 2026) ~61% ████████████░░░░░░░░ WYSOKA
Poprawka producenta BRAK ░░░░░░░░░░░░░░░░░░░░ tylko środki zaradcze
CISA KEV TAK ████████████████████ ataki potwierdzone 2021-02 CISA publikuje ostrzeżenie przemysłowe ICSA-21-056-03
2021-03-03 Publikacja CVE-2021-22681 w NVD
... późniejsza aktualizacja ostrzeżenia dopisuje FactoryTalk Security
... 5 lat bez poprawki, bo producent uznał, że jej nie da się wydać
2026-03-05 CISA dodaje lukę do katalogu KEV
2026-03-26 Termin naprawy wg CISA dla agencji federalnych
2026-08-23 EPSS około 61%
2026-09-17: TUTAJ JESTEŚMY Komunikat producenta: Rockwell Automation, CVE-2021-22681 . Ostrzeżenie CISA: ICSA-21-056-03 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2021-22681 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy zakład ma sterowniki Rockwell Logix (także w maszynach kupionych od integratorów) | CTO / kierownik produkcji | DZISIAJ |
2 | Uzyskać odpowiedź: czy z sieci biurowej lub internetu da się dotrzeć do sterowników | CTO | DZISIAJ |
3 | Zatwierdzić blokadę portu TCP 44818 spoza strefy przemysłowej | CTO | DZISIAJ |
4 | Zlecić kopię programów wszystkich sterowników poza stacją inżynierską | Kierownik produkcji | DO JUTRA |
5 | Przejrzeć umowy i dostępy serwisów zewnętrznych do sieci maszyn | CTO | DO JUTRA |
6 | Zarezerwować budżet na segmentację sieci i ewentualne wdrożenie CIP Security | CFO | DO JUTRA |
7 | Sprawdzić, czy ubezpieczenie od przestoju obejmuje zdarzenia cybernetyczne na hali | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile mamy sterowników Rockwell Logix i jakich rodzin? | [liczba], [rodziny] | 🔴 |
2 | Czy sieć sterowników jest oddzielona od sieci biurowej i internetu? | TAK / NIE | 🔴 |
3 | Czy ruch na porcie TCP 44818 spoza strefy przemysłowej jest zablokowany? | TAK / NIE | 🔴 |
4 | Gdzie przechowujemy aktualne kopie programów sterowników i z jakiej daty są? | [miejsce], [data] | 🟠 |
5 | Kto ma zdalny dostęp do sieci maszyn i czy jest on stały? | [lista], TAK / NIE | 🟠 |
6 | W jakiej pozycji są przełączniki trybu sterowników? | [Run / Remote / Program] | 🟠 |
7 | Czy mamy włączone wykrywanie zmian programu (Controller Log, Change Detection, AssetCentre)? | TAK / NIE | 🟡 |
CVE-2021-22681 pozwala osobie z dostępem sieciowym podszyć się pod oprogramowanie Rockwella i zmienić program sterowników Logix. Poprawki nie ma, a CISA w 2026 roku potwierdza wykorzystanie luki, więc jedyną skuteczną ochroną jest odcięcie sieci sterowników od biura i internetu, kopie programów i wykrywanie zmian. Zadanie na dziś: sprawdzić, czy do sterowników da się dostać spoza hali.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Przepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułLuka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułBłąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.