StoneFly Storage Concentrator 多漏洞（硬编码凭证/命令注入）及CISA防御建议

漏洞概述 StoneFly Storage Concentrator存在多个安全漏洞，可能导致攻击者获得广泛的未授权访问、执行任意命令（以root权限）、窃取敏感数据，并代表合法用户执行操作。 影响范围 受影响的版本包括： Storage Concentrator <8.0.4.22 (CVE-2026-56415, CVE-2026-55721, CVE-2026-50040) Storage Concentrator Virtual Machine <8.0.4.22 (CVE-2026-56415, CVE-2026-55721, CVE-2026-50040) Storage Concentrator <8.0.4.26 (CVE-2026-50110) Storage Concentrator Virtual Machine <8.0.4.26 (CVE-2026-50110) Storage Concentrator <8.0.4.29 (CVE-2026-56413) Storage Concentrator Virtual Machine <8.0.4.29 (CVE-2026-56413) 修复方案 CISA建议用户采取防御措施以最小化这些漏洞被利用的风险： 最小化所有控制系统设备和/或系统的网络暴露，确保它们不能从互联网访问。 将控制系统网络和远程设备置于防火墙后面，并与业务网络隔离。 当需要远程访问时，使用更安全的远程访问方法，如虚拟专用网络（VPN），并认识到VPN可能具有漏洞，应更新到最新版本。 在部署防御措施之前，进行适当的影响分析和风险评估。 实施推荐的网络安全策略，以主动防御ICS资产。 遵循内部程序，报告可疑恶意活动，并遵循CISA的跟踪和关联程序。 不要点击未请求电子邮件消息中的链接或打开附件。 参考CISA提供的电子邮件诈骗和社会工程学攻击的相关信息。 漏洞详情 CVE-2026-50110: 使用硬编码凭证、OS命令注入、SQL注入、跨站脚本（XSS）。 CVE-2026-56413: 使用硬编码凭证、OS命令注入、SQL注入、跨站脚本（XSS）。 CVE-2026-56415: 使用硬编码凭证、OS命令注入、SQL注入、跨站脚本（XSS）。 CVE-2026-55721: 使用硬编码凭证、OS命令注入、SQL注入、跨站脚本（XSS）。 CVE-2026-50040: 使用硬编码凭证、OS命令注入、SQL注入、跨站脚本（XSS）。 致谢 David Yesland of Rhino Security Labs报告了这些漏洞给CISA。 法律通知和使用条款 本产品受此通知和隐私及使用政策的约束。 修订历史 初始发布日期: 2026-06-30 修订: 1 摘要: 初始发布 标签 行业: 国防工业基地、能源、金融服务、医疗保健和公共卫生、信息技术 主题: 工业控制系统漏洞、工业控制系统 相关公告 Mitsubishi Electric MELSOFT Update Manager SW1DND-UDM-M Schneider Electric EasyLogic T150 and Saitel DP RTU Frangoteam FUXA SCADA/HMI Schneider Electric EcoStruxure IT Data Center Expert 反馈 我们最近更新了匿名产品调查，欢迎提供反馈。 页脚 CISA Central: 1-844-Say-CISA, contact@cisa.dhs.gov 社交媒体: Facebook, X, LinkedIn, YouTube, Instagram, RSS 链接: About CISA, Budget and Performance, DHS.gov, FOIA Requests, No FEAR Act, Office of Inspector General, Privacy Policy, Subscribe, The White House, USA.gov, Website Feedback 总结 StoneFly Storage Concentrator存在多个严重安全漏洞，影响多个版本。CISA建议采取多种防御措施，包括最小化网络暴露、使用安全的远程访问方法、进行风险评估和实施推荐的网络安全策略。相关漏洞详情和修复建议已在页面中详细说明。

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

StoneFly Storage Concentrator 多漏洞（硬编码凭证/命令注入）及CISA防御建议

目标达成感谢每一位支持者 — 我们达成了 100% 目标！