CODESYS cảnh báo chuỗi lỗ hổng cho phép chiếm quyền PLC và cài backdoor nguy hiểm

[WhiteHat Team]

Một nghiên cứu mới đây đã chỉ ra chuỗi lỗ hổng nghiêm trọng trong nền tảng CODESYS - hệ thống được sử dụng phổ biến để vận hành các bộ điều khiển công nghiệp (PLC) trong nhà máy, năng lượng và hạ tầng. Điểm nguy hiểm là khi kết hợp ba lỗ hổng riêng lẻ, kẻ tấn công có thể chiếm toàn bộ thiết bị và âm thầm cài mã độc điều khiển.
​

Ảnh: Cyber Security News​

Đây không phải là một lỗi đơn lẻ mà là một “chuỗi tấn công hoàn chỉnh”. Mỗi lỗ hổng đóng một vai trò cụ thể. Đầu tiên, CVE-2025-41658 cho phép người dùng có quyền thấp truy cập file nhạy cảm và trích xuất mật khẩu. Điều này mở ra lối xâm nhập ban đầu mà không cần kỹ thuật tấn công phức tạp.

Tiếp theo, CVE-2025-41659 làm lộ các khóa mã hóa quan trọng vốn được dùng để ký và bảo vệ ứng dụng PLC. Khi khóa này bị lộ, mọi cơ chế xác thực gần như vô hiệu hóa, cho phép kẻ tấn công chỉnh sửa chương trình điều khiển mà vẫn “hợp lệ” trong mắt hệ thống.

Cuối cùng, CVE-2025-41660 cho phép tải lại một project PLC đã bị can thiệp. Đây chính là bước đưa mã độc vào thiết bị, hoàn tất chuỗi xâm nhập.

Điểm đáng chú ý nhất nằm ở thiết kế kiểm tra toàn vẹn yếu. Các file backup của PLC chỉ sử dụng CRC32, một dạng checksum không có giá trị bảo mật. Kẻ tấn công có thể dễ dàng chỉnh sửa nội dung và tính lại checksum để qua mặt hệ thống. Nói cách khác, cơ chế bảo vệ tồn tại nhưng không thực sự bảo vệ được gì.

Nguy hiểm hơn, mã độc không cần thực thi ngay. Nó có thể “nằm im” trong hệ thống và chỉ kích hoạt khi PLC được khởi động lại, một thao tác rất bình thường trong bảo trì. Khi đó, backdoor sẽ chạy với quyền root, cho phép kiểm soát hoàn toàn thiết bị và cả hệ điều hành phía dưới.

Trong môi trường công nghiệp (OT), hậu quả không chỉ dừng ở dữ liệu. Kẻ tấn công có thể thay đổi logic vận hành, làm sai lệch cảm biến hoặc can thiệp vào quy trình vật lý dẫn đến hỏng hóc thiết bị hoặc gián đoạn sản xuất.

CODESYS hiện đã phát hành bản vá và áp dụng bắt buộc ký code cho ứng dụng PLC. Tuy nhiên, các tổ chức cần chủ động cập nhật ngay, siết chặt quản lý tài khoản, tách biệt mạng OT/IT và giám sát các hành vi bất thường như tải lên hoặc khôi phục project, đây là những dấu hiệu sớm của một cuộc tấn công kiểu này.​

Theo Cyber Press​