Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
Bezpośrednie wystawienie sterowników PLC do publicznego internetu pozostaje jednym z najpoważniejszych błędów konfiguracyjnych w środowiskach OT. Problem dotyczy urządzeń odpowiedzialnych za sterowanie procesami przemysłowymi, w tym instalacjami wodociągowymi i kanalizacyjnymi, gdzie naruszenie integralności konfiguracji lub zdalna zmiana parametrów może szybko przełożyć się na zakłócenia operacyjne.
Najnowsze ustalenia pokazują, że tysiące kontrolerów Rockwell Automation pozostają osiągalne z sieci publicznej. Taka ekspozycja znacząco zwiększa powierzchnię ataku dla cyberprzestępców, grup sponsorowanych przez państwa oraz hacktywistów, zwłaszcza w sektorach infrastruktury krytycznej.
W skrócie
Badacze zidentyfikowali 4407 publicznie dostępnych sterowników Rockwell PLC na świecie, z czego 2844 znajdowały się w Stanach Zjednoczonych. W 22 przypadkach urządzenia tego typu wykryto w miastach powiązanych z niedawnymi incydentami dotyczącymi amerykańskich wodociągów.
- Wiele systemów korzystało z łączności komórkowej.
- W części przypadków nie był potrzebny zaawansowany exploit, aby wpłynąć na działanie urządzenia.
- Wśród widocznych systemów znalazły się starsze rodziny sprzętu, w tym MicroLogix 1400 i MicroLogix 1100.
- Część urządzeń mogła być podatna na znane wcześniej luki bezpieczeństwa.
Kontekst / historia
Bezpieczeństwo systemów OT w sektorze wodno-kanalizacyjnym od lat pozostaje jednym z kluczowych wyzwań dla operatorów infrastruktury krytycznej. Środowiska te łączą wysoką krytyczność procesów z częstymi brakami w segmentacji sieci, niekontrolowanym zdalnym dostępem oraz długim cyklem życia urządzeń.
Federalne ostrzeżenia dotyczące aktywności wymierzonej w wodociągi i oczyszczalnie ścieków zwracały uwagę na kampanie obejmujące internetowo dostępne urządzenia OT, w tym sterowniki Rockwell i Allen-Bradley. Z perspektywy obrońców problem nie sprowadza się do jednej podatności, lecz do utrwalonego wzorca narażenia wynikającego z błędów architektonicznych i operacyjnych.
Choć historyczne dane sugerują spadek liczby publicznie widocznych urządzeń względem szczytu z 2020 roku, skala zjawiska nadal pozostaje znacząca. Oznacza to, że wiele organizacji wciąż przedkłada wygodę zdalnego dostępu nad podstawowe zasady bezpieczeństwa OT.
Analiza techniczna
Kluczowym elementem problemu jest wystawienie do internetu usług powiązanych z EtherNet/IP, w szczególności na porcie 44818. Taka ekspozycja może umożliwiać niezautoryzowaną identyfikację urządzenia, odczyt informacji o jego charakterystyce, a w określonych konfiguracjach także zapis wybranych ustawień.
W praktyce oznacza to, że napastnik nie zawsze musi korzystać z klasycznej podatności typu zdalne wykonanie kodu, aby wywołać realny wpływ operacyjny. W opisywanych przypadkach obserwowano zmianę adresacji IP oraz ustawianie haseł na już osiągalnych sterownikach. Dla operatorów skutkiem mogła być utrata widoczności urządzeń, a nawet czasowa utrata kontroli nad elementami procesu.
Szczególne znaczenie ma obecność starszych urządzeń i nieaktualnego firmware. Wśród wykrytych systemów znalazły się egzemplarze podatne na CVE-2017-16740, czyli przepełnienie bufora w obsłudze Modbus TCP dla wybranych wersji MicroLogix 1400. Chociaż wykorzystanie tej luki zależy od aktywnej obsługi Modbus TCP, sam fakt obecności przestarzałego oprogramowania wskazuje na słabe praktyki zarządzania cyklem życia urządzeń.
Dodatkowym czynnikiem ryzyka jest obecność wycofanych rodzin sprzętowych, takich jak MicroLogix 1100. W takich przypadkach organizacje mają ograniczone możliwości dalszego wzmacniania bezpieczeństwa, co zwiększa znaczenie segmentacji, izolacji oraz planów wymiany urządzeń.
Badacze zwrócili też uwagę na wzorzec sieciowy. Znaczna część amerykańskich instalacji była widoczna przez sieci operatorów komórkowych, co może sugerować powtarzalne modele wdrożeniowe stosowane przez integratorów, dostawców usług terenowych lub zespoły utrzymania korzystające z uproszczonych metod zdalnego dostępu.
Konsekwencje / ryzyko
Najważniejsze ryzyko dotyczy dostępności i integralności procesów przemysłowych. Nawet bez użycia destrukcyjnego malware atakujący może doprowadzić do zakłóceń, które będą miały bezpośredni wpływ na pracę obiektu.
- utrata łączności z PLC,
- zablokowanie operatorów przez zmianę haseł,
- modyfikacja parametrów komunikacyjnych,
- zaburzenie monitoringu i telemetrii,
- konieczność ręcznego odtwarzania konfiguracji i logiki sterującej.
W sektorze wodnym konsekwencje mogą obejmować lokalne przerwy w pracy, błędne alarmy, przejście na tryb manualny oraz opóźnienia w reakcji operacyjnej. Jeżeli organizacja nie utrzymuje aktualnych kopii projektów PLC w trybie offline, pełne odzyskanie sprawności może być kosztowne i czasochłonne.
Z perspektywy cyberbezpieczeństwa przypadek ten potwierdza, że internetowa ekspozycja OT sama w sobie stanowi krytyczne ryzyko. Publicznie dostępny sterownik PLC staje się łatwym celem do skanowania, profilowania i selekcji ofiar do dalszych działań.
Rekomendacje
Podstawowym działaniem powinno być natychmiastowe usunięcie sterowników PLC z publicznego internetu. Środowiska OT nie powinny być dostępne bezpośrednio z sieci publicznej, szczególnie przez natywne interfejsy sterowników. Zamiast tego należy stosować architekturę pośrednią z kontrolowanym dostępem, na przykład z wykorzystaniem VPN lub prywatnego APN.
- przeprowadzić inwentaryzację wszystkich urządzeń OT osiągalnych z internetu,
- zweryfikować ekspozycję portów związanych z EtherNet/IP i Modbus TCP,
- ograniczyć zdalny dostęp wyłącznie do zatwierdzonych punktów administracyjnych,
- wymusić silne uwierzytelnianie dla modemów i bram komunikacyjnych,
- zaktualizować firmware tam, gdzie producent udostępnił poprawki,
- zaplanować wymianę urządzeń wycofanych z eksploatacji,
- utrzymywać aktualne kopie projektu, logiki i konfiguracji PLC w trybie offline,
- wdrożyć centralne logowanie i alertowanie dla zmian konfiguracji,
- skontrolować powtarzalne konfiguracje wdrażane u wielu klientów przez integratorów i dostawców.
W sektorach infrastruktury krytycznej warto również regularnie prowadzić ćwiczenia odtworzeniowe. Sam backup nie gwarantuje skutecznego przywrócenia systemu, jeśli organizacja nie przetestowała procedur resetu, ponownego wgrania projektu oraz walidacji poprawności działania procesu po incydencie.
Podsumowanie
Ujawnienie ponad 4,4 tys. internetowo dostępnych sterowników Rockwell PLC pokazuje, że bezpieczeństwo OT nadal przegrywa z wygodą zdalnego dostępu i historycznymi błędami projektowymi. Największym problemem nie jest wyłącznie konkretna podatność, lecz sam fakt wystawienia kontrolerów odpowiedzialnych za procesy przemysłowe do publicznej sieci.
Dla organizacji korzystających z PLC Rockwell oznacza to konieczność pilnego przeglądu ekspozycji, segmentacji, metod zdalnego dostępu oraz gotowości do odzyskiwania konfiguracji po incydencie. W praktyce najskuteczniejszą obroną pozostaje eliminacja bezpośredniej dostępności PLC z internetu i uporządkowanie podstawowej higieny bezpieczeństwa w środowisku OT.
Źródła
- Over 4,400 Rockwell PLCs Exposed Online, 22 Found in Water Attack Cities — https://thehackernews.com/2026/08/over-4400-rockwell-plcs-exposed-online.html
- 2026 — FBI Cyber Alerts — https://www.fbi.gov/investigate/cyber/alerts/2026
- Security Advisories | Rockwell Automation | US — https://www.rockwellautomation.com/en-us/trust-center/security-advisories.html
- Better Safe Than Sorry – Forescout Research — https://www.forescout.com/research-labs/better-safe-than-sorry/
- MicroLogix 1400 Programmable Controllers User Manual — https://literature.rockwellautomation.com/idc/groups/literature/documents/um/1766-um001_-en-p.pdf