【重大工控漏洞】mySCADA myPRO 或被攻击者掌控工业控制系统

网络安全研究人员披露了影响mySCADA myPRO系统的两个重大漏洞的细节。myPRO是一种广泛应用于工业技术（OT）环境中的监控与数据采集（SCADA）系统，这些漏洞可能使恶意攻击者控制易受攻击的设施。

瑞士安全公司PRODAFT表示：“如果这些漏洞被利用，可能导致未授权访问工业控制网络，进而引发严重的运营中断和财务损失。”这些漏洞均被评为CVSS v4评分系统中的9.3分，具体包括：

• CVE-2025-20014 - 操作系统命令注入漏洞，攻击者可通过包含版本参数的特制POST请求，在受影响的系统上执行任意命令。
• CVE-2025-20061 - 操作系统命令注入漏洞，攻击者可通过包含电子邮件参数的特制POST请求，在受影响的系统上执行任意命令。

成功利用其中任何一个漏洞，攻击者都可能注入系统命令并执行任意代码。

漏洞成因与潜在风险

PRODAFT指出，这两个漏洞均源于未能对用户输入进行适当清理，从而导致命令注入的风险。公司强调：“这些漏洞凸显了SCADA系统中持续存在的安全风险，以及加强防御的必要性。利用这些漏洞可能会导致运营中断、财务损失甚至安全隐患。”

安全建议与应对措施

为了防止潜在的攻击，组织应尽快采取以下措施：

• 应用最新的安全补丁；
• 实施网络隔离，将SCADA系统与IT网络分开；
• 强制采用强身份验证；
• 监控可疑活动。

通过这些措施，可以有效减少漏洞被利用的风险，保障工业控制系统的安全运行。

参考来源：

Critical mySCADA myPRO Flaws Could Let Attackers Take Over Industrial Control Systems