Cyber ·
Apache PLC4X: falhas no canal OPC UA permitem contornar integridade e aceitar certificado inválido
Duas falhas corrigidas no PLC4X 1.0.0 afetam o canal seguro OPC UA. Um servidor malicioso, um servidor que se passa por outro ou alguém no caminho da rede pode explorá-las. Não há correção na série 0.13.x.
Em 30 de outubro, um pesquisador publicou na lista oss-sec detalhes de duas vulnerabilidades no Apache PLC4X, biblioteca cliente para comunicação com equipamentos industriais. As falhas foram identificadas como CVE-2026-102508 e CVE-2026-102509. A publicação descreve os mecanismos e as condições de acionamento de ambas. Segundo o aviso, a CVE-2026-102508 afeta as versões 0.9.0 a 0.13.1 e envolve dois defeitos no caminho de recebimento assimétrico do OPC UA, presentes nas versões 0.12.0 a 0.13.1. As duas falhas foram corrigidas na versão 1.0.0. Não há correção para a série 0.13.x. Como o PLC4X é uma biblioteca cliente, o atacante pode ser um servidor malicioso ou que se passa por outro servidor, ou alguém posicionado no caminho da rede. Os efeitos descritos incluem contornar a verificação de integridade, aceitar certificado que não pode ser verificado e rebaixar a conexão sem aviso. O texto consultado é uma tradução automática e o trecho disponível não traz todos os detalhes técnicos. Para confirmar escopo, condições e recomendações, consulte o aviso original no arquivo da lista oss-sec de 2026, na thread 454 do quarto trimestre, e as entradas de CVE correspondentes.