27 октября CISA опубликовала advisory ICSA-26-300-01 о четырёх уязвимостях в EPICS Base — открытом наборе инструментов для построения систем управления (SCADA). EPICS появился в Лос-Аламосской и Аргоннской национальных лабораториях и сегодня работает примерно в 90 проектах, включая Advanced Photon Source и систему управления термоядерного реактора ITER.
Уязвимости
| CVE | Тип | CVSS v3.1 |
|---|---|---|
| CVE-2026-114595 | Целочисленное переполнение → запись за границы кучи, возможен RCE | 9.8 |
| CVE-2026-114596 | Целочисленное переполнение → запись за границы, падение контроллера | 8.2 |
| CVE-2026-114597 | Несогласованная длина → чтение за границы | 7.5 |
| CVE-2026-114598 | Путаница типов → DoS, утечка соседней памяти | 7.5 |
Уязвимы версии 7.0.10 и старше. Эксплуатации в дикой природе CISA не наблюдает. Для атаки нужен сетевой доступ к сервисам EPICS в управляющей сети — то есть плохо сегментированные сети в зоне риска.
AI в роли исследователя
Баги нашёл автономный агент Cipher компании Causal Security. От старта до подтверждённых эксплойтов прошло 3 часа 49 минут. Первичный анализ шёл без участия человека; один раз человек разрешил углублённую проверку эксплуатируемости в изолированной среде. В начале октября тот же агент уже приводил к advisory CISA по системам энергосетей.
Что делать
- Обновиться до EPICS Base 7.0.11 (исправления также в pvDataCPP).
- Убедиться, что управляющие сети изолированы от бизнес-сетей и интернета, а удалённый доступ идёт через актуальный VPN.
On October 27 CISA published advisory ICSA-26-300-01 covering four vulnerabilities in EPICS Base, an open-source toolkit for building control (SCADA) systems. EPICS came out of Los Alamos and Argonne national laboratories and now runs in about 90 projects, including Argonne’s Advanced Photon Source and the ITER fusion reactor control system.
The flaws
| CVE | Type | CVSS v3.1 |
|---|---|---|
| CVE-2026-114595 | Integer overflow → heap out-of-bounds write, possible RCE | 9.8 |
| CVE-2026-114596 | Integer overflow → out-of-bounds write, controller crash | 8.2 |
| CVE-2026-114597 | Length inconsistency → out-of-bounds read | 7.5 |
| CVE-2026-114598 | Type confusion → DoS, adjacent memory exposure | 7.5 |
Versions 7.0.10 and earlier are affected. CISA knows of no exploitation in the wild. An attacker needs network access to EPICS services on the control network, so poorly segmented networks are most at risk.
AI as the researcher
The bugs were found by Cipher, an autonomous agent built by Causal Security. It took 3 hours 49 minutes from start to validated exploits. The initial investigation ran with no human input; a person gave one instruction authorizing deeper exploitability testing in an isolated environment. Earlier in October the same agent’s findings led to a CISA advisory on power grid systems.
What to do
- Upgrade to EPICS Base 7.0.11 (fixes also landed in pvDataCPP).
- Make sure control networks are isolated from business networks and the internet, and that remote access goes through an up-to-date VPN.