Промышленные роботы Universal Robots оказались под угрозой взлома из-за критической уязвимости

В операционной системе PolyScope 5, управляющей коллаборативными роботами компании Universal Robots, обнаружена критическая уязвимость. Брешь в безопасности позволяет злоумышленникам удаленно выполнять произвольные команды на промышленных устройствах без прохождения аутентификации. Это ставит под угрозу безопасность всей заводской ИТ-инфраструктуры.

Уязвимость CVE-2026-8153 и ее последствия

Выявленной уязвимости присвоен идентификатор CVE-2026-8153, а уровень ее опасности оценен в 9,8 балла из 10 по шкале CVSS. Проблема затрагивает все версии программного обеспечения PolyScope до релиза 5.25.1. Брешь связана с недостаточной фильтрацией входящих данных на порту Dashboard Server: система принимает команды пользователя и передает их операционной системе без надлежащей проверки.

В результате злоумышленник, имеющий сетевой доступ к порту Dashboard Server, может отправлять специально сформированные запросы и выполнять любые команды с максимальными системными привилегиями. Это дает полный контроль над контроллером робота, ставя под угрозу конфиденциальность, целостность и доступность всей автоматизированной системы.

Проблему обнаружила исследователь Вера Менс из подразделения Team82 компании Claroty. Информация об уязвимости была передана и скоординирована через авторитетные платформы CISA и CERT/CC.

Реальные риски для промышленной безопасности

Для успешной эксплуатации уязвимости у злоумышленника должен быть доступ к сетевому порту Dashboard Server, а сама функция должна быть активирована в интерфейсе робота. Производитель заявляет, что его оборудование не предназначено для прямого подключения к интернету и обычно защищено корпоративными брандмауэрами. Однако основная опасность исходит изнутри локальной сети.

При отсутствии должной сегментации сети взломанный рабочий компьютер в том же цеху может легко получить доступ к порту Dashboard Server робота. В случае с коллаборативными роботами (коботами), которые спроектированы для совместной работы на конвейере вместе с людьми, компрометация устройства несет прямую угрозу здоровью и физической безопасности персонала.

Рекомендации по защите оборудования

Разработчик Universal Robots уже выпустил исправление в обновлении PolyScope 5.25.1. Однако патч не защитит систему автоматически — его необходимо установить вручную. В обзоре отмечается, что каждый день промедления увеличивает шансы злоумышленников на эксплуатацию известной уязвимости. Производитель настоятельно рекомендует обновить ПО на всех устройствах до актуальной версии в кратчайшие сроки.

Для минимизации рисков эксперты рекомендуют придерживаться следующих правил:

• Своевременно обновлять операционную систему роботов до версии 5.25.1 или новее.
• Провести строгую сегментацию корпоративной сети, полностью изолировав промышленное оборудование от смежных офисных сегментов.
• Ограничить доступ к сетевому порту Dashboard Server и использовать брандмауэры для фильтрации входящего трафика внутри локальной сети предприятия.