INCIBE alerta sobre PLCnext, Quay

INCIBE-CERT publicou em agosto vários alertas sobre vulnerabilidades em PLCnext, da Phoenix Contact, Red Hat Quay e componentes de OpenShift. No caso de PLCnext, a cobertura disponível indica que uma das falhas era crítica e que, segundo a tabela do aviso, não havia exploração ativa registrada. A Phoenix Contact também já havia divulgado um advisory oficial com a correção para o firmware.

O que disse o INCIBE sobre o PLCnext da Phoenix Contact?

INCIBE-CERT publicou o aviso INCIBE-2026-553 por três vulnerabilidades no firmware PLCnext, da Phoenix Contact, enquanto a cobertura da Moncloa apontou que uma delas era crítica e que, segundo a tabela do próprio aviso, não havia exploração ativa registrada. A Phoenix Contact, por sua vez, informou que as falhas afetam versões anteriores ao PLCnext 2026.0.3.

O advisory oficial da Phoenix Contact detalha que os problemas atingem o firmware do PLCnext e que ao menos um deles pode levar a uma condição de negação de serviço na interface de comunicação do PLCnext Engineer. A correção ficou vinculada à atualização para PLCnext 2026.0.3 ou posterior, com referência a um aviso CSAF que identifica os produtos afetados e as versões corrigidas.

O boletim IoT News Digest 2633 também registrou que a Phoenix Contact havia corrigido vulnerabilidades de injeção SQL e condições de negação de serviço no PLCnext, localizando os problemas em componentes de comunicação expostos em redes OT. Segundo esse resumo, o impacto potencial cresce quando os PLCs estão acessíveis a partir de redes não segmentadas.

Que outros alertas o INCIBE publicou nesses dias?

INCIBE-CERT publicou também alertas para CVE-2026-73047, CVE-2026-71567, CVE-2026-49431 e CVE-2026-74243, com diferentes níveis de severidade e estados de análise. Nesse conjunto há uma vulnerabilidade de revelação de informação, outra de injeção de comandos no OpenShift, uma pendente de análise e uma falha média no Red Hat Quay com possível negação de serviço.

A alerta CVE-2026-73047 foi classificada como alta e associada a CWE-200, ou seja, revelação de informação. Já a CVE-2026-71567 também recebeu severidade alta e foi vinculada a uma injeção de comando de sistema operacional em openshift-metal3/fakefish.

A NVD descreve, para a CVE-2026-71567, um padrão de scripts em que variáveis de shell são injetadas sem aspas em linhas de comando ou manifestos, com impacto especial em parâmetros como a URL da imagem e as credenciais BMC. A plataforma agregadora de CVEs a registra como explorável remotamente e como CWE-78, embora afirme que não havia exploits públicos disponíveis no momento da publicação.

A CVE-2026-49431 ficou marcada pelo INCIBE-CERT como pendente de análise. Já a CVE-2026-74243 foi publicada com severidade média e vinculada a uma falha no Red Hat Quay que poderia permitir a um atacante não autenticado saturar a fila de notificações e provocar negação de serviço.

Como ficou o panorama no Red Hat Quay e no OpenShift?

As referências disponíveis mostram uma família de falhas no Red Hat Quay e em serviços associados ao OpenShift, com riscos limitados e sem evidência pública de exploração em massa no momento do registro. A OpenCVE reportou problemas semelhantes no Quay 3 e no Red Hat OpenShift Update Service, com severidades moderadas e sem sinais de inclusão no CISA KEV.

Em outros casos relacionados, a OpenCVE descreveu fragilidades na validação de JWT para contas federadas e na verificação de assinaturas de webhooks Stripe. Segundo essa análise, um atacante com um token válido ou com acesso a endpoints públicos poderia contornar controles de autenticação, alterar cotas de build ou acessar recursos não autorizados.

Para as vulnerabilidades do Quay, a OpenCVE afirmou ainda que não havia exploits conhecidos e que a probabilidade de exploração seguia incerta pela falta de métricas EPSS. Esse contexto relativiza o alerta do INCIBE-CERT sobre a CVE-2026-74243, que por ora ficou como uma falha de impacto restrito e associada à negação de serviço.