Correções lançadas para quatro falhas graves no EPICS Base de laboratórios
Quatro falhas no EPICS Base, componente central do toolkit de código aberto usado em aceleradores de partículas e experimentos de fusão, foram corrigidas com a versão 7.0.11. A mais grave, CVE-2026-114595 (CVSS 9.8), é um integer overflow que pode permitir execução remota de código, mas nenhuma exploração pública foi relatada à CISA. Instalações com EPICS Base 7.0.10 ou anterior devem atualizar.
O que aconteceu
O Cipher, sistema autônomo de pesquisa em segurança da Causal Security, encontrou quatro falhas no EPICS Base, software usado nos sistemas de controle de aceleradores de partículas e experimentos de fusão. A mais grave recebeu CVSS 9.8 e pode possibilitar execução remota de código. As correções já foram lançadas, segundo a SecurityWeek.
Por que importa
Segundo a Causal Security, um ataque poderia interromper feixes de partículas, atrapalhar experimentos, causar perda de dados de monitoramento e desligamentos caros de equipamentos críticos de pesquisa. O ITER baseia o controle de seu reator de fusão no EPICS, e o Advanced Photon Source, do Laboratório Nacional Argonne, faz uso intenso do software.
O que fazer
Atualizar o EPICS Base para a versão 7.0.11, conforme recomendação da CISA. Verificar se os serviços EPICS (portas TCP 5064 e 5075) estão expostos e restringir o acesso à rede interna da instalação.
Para o time técnico
- CVE
- CVE-2026-114595
- Afetados
- EPICS base · EPICS Base 7.0.10 e versões anteriores. Demais CVEs: CVE-2026-114596 (CVSS 8.2, out-of-bounds write que deixa o processo instável ou causa DoS), CVE-2026-114597 (CVSS 7.5, out-of-bounds read que pode derrubar a aplicação e vazar dados de memória próxima), CVE-2026-114598 (CVSS 7.5, type confusion acionada por dados de rede malformados, levando a DoS).
- Exploração
- Nenhuma exploração pública relatada à CISA. RCE não foi alcançada: o Cipher demonstrou o out-of-bounds heap write controlado pelo atacante e o crash do processo com AddressSanitizer, mas não buscou um exploit funcional de RCE, segundo Shubham Raj, cofundador da Causal Security. Uma verificação breve no Censys identificou candidatos por portas expostas, mas nenhum foi confirmado como EPICS; o número de implantações expostas à internet é desconhecido.
- Correção
- Atualizar para EPICS Base 7.0.11, recomendação da CISA. Os mantenedores foram notificados em 9 de junho e integraram os patches em julho e agosto.
- Vetor
- Falhas no processamento dos protocolos de rede Channel Access e pvAccess do EPICS Base. As quatro podem ser disparadas sem autenticação e sem interação do usuário; basta acesso de rede aos serviços vulneráveis, tipicamente TCP 5064 (Channel Access) ou 5075 (pvAccess), via serviço exposto ou rede interna da instalação. A mais grave, CVE-2026-114595 (CVSS 9.8), é um integer overflow no processamento de requisições de rede que causa alocação de memória com tamanho errado; processar dados do atacante em seguida pode corromper memória, provocar DoS ou possibilitar execução remota de código, segundo a CISA.
- Mais detalhes
- Descoberta pelo Cipher, sistema autônomo da Causal Security, em cerca de 3 horas e 49 minutos, partindo sem conhecimento de EPICS e sem técnicas de ataque voltadas a sistemas de controle científico; nenhuma direção humana na primeira fase da análise. Revisão do histórico de código mostra que as falhas têm entre aproximadamente 14,5 e 31,5 anos. A CISA divulgou os problemas em comunicado publicado na terça-feira. A pesquisa da Causal também levou a divulgações na openPDC e openHistorian (Grid Protection Alliance) e na pilha de rede FreeRTOS-Plus-TCP.
Linha do tempo
A SecurityWeek informa que as correções para as quatro falhas do EPICS Base já foram lançadas.
Primeiro relato: fabricante do agente de IA anuncia as quatro falhas, incluindo a CVE-2026-114595.
Fontes 2 fontes
- @IntCyberDigest @IntCyberDigest
- Long-Hidden Flaws Patched in EPICS Research Facility Control Software SecurityWeek
