CISA alerta por falhas no Eclipse Milo OPC UA

A CISA publicou o aviso ICS-26-288-01 sobre vulnerabilidades no Eclipse Foundation Eclipse Milo, uma pilha OPC UA usada em ambientes industriais. Segundo a agência, a exploração pode permitir apagar dados protegidos, recuperar credenciais, se passar por usuários legítimos ou fazer o servidor parar de responder. Entre os setores críticos citados, a CISA mencionou energia, água e esgoto.

¿Qué vulnerabilidades identificó CISA?

CISA identificou seis CVEs no Eclipse Milo e recomendou a atualização para o Milo 1.1.5. As falhas apontadas no aviso técnico são CVE-2026-63252, CVE-2026-63248, CVE-2026-60007, CVE-2026-62927, CVE-2026-58080 e CVE-2026-61387. A orientação da agência aponta para a ramificação corrigida 1.1.5 como destino da atualização.

¿Qué se sabe de CVE-2026-60007?

CVE-2026-60007 pode ser explorada a partir de uma discrepância observável no processamento de tokens UsernameToken sob Basic128Rsa15. Segundo a Security Boulevard, um atacante posicionado na rede precisa capturar um token criptografado e fazer solicitações ActivateSession repetidas. O resultado publicado para essa falha atribui nota CVSS v4.0 de 9.1, classificada como crítica.

¿Por qué el caso importa para OT e ICS?

Milo é uma biblioteca que pode estar embutida em produtos SCADA, gateways e sistemas de controle, por isso identificar os produtos afetados exige localizar implementações que incorporem a dependência. A Trout Software observou que isso dificulta o levantamento, porque o componente pode aparecer integrado a outras soluções, em vez de figurar como um produto visível por si só.

¿Qué pasa con quienes usan la rama 0.6.x?

As versões da linha 0.6.x não têm uma versão corrigida própria. Segundo a Adyog Pulse, quem permanece nessa linha precisa migrar para o Milo 1.1.5 ou posterior, em vez de esperar um patch específico para a 0.6.x. Isso deixa esses usuários com uma única forma de correção baseada em atualização de versão.