Агент Cipher нашёл четыре уязвимости в ПО для управления научным оборудованием

Все четыре ошибки находятся в EPICS Base, основе открытого набора ПО для управления научным оборудованием. EPICS связывает операторов с контроллерами, которые принимают измерения и команды для физических устройств. Его используют, в частности, на установках для экспериментов с ускорителями частиц и термоядерным синтезом. Поэтому сбой в таком ПО может прервать работу оборудования и сам эксперимент. Ошибки затрагивают общий компонент EPICS, а не отдельную установку.

Самая серьёзная уязвимость, CVE-2026-114595, получила оценку 9,8 по шкале CVSS 3.1. Целочисленное переполнение позволяет специально подготовленным сетевым данным вызвать запись за пределами выделенной области памяти. Это может привести к выполнению кода на контроллере, хотя возможность такого исхода не означает, что он уже произошёл. Для оборудования, которым управляют через EPICS, последствия зависят от того, к чему получил доступ атакующий и как устроена конкретная установка.

Остальные три ошибки получили оценки 8,2 и дважды по 7,5 балла. CVE-2026-114596 связана с неверной проверкой длины сообщения: запись за пределами памяти может завершить процесс контроллера. CVE-2026-114597 допускает чтение за пределами памяти и тоже может вызвать сбой. CVE-2026-114598 возникает из-за путаницы типов данных; среди возможных последствий названы отказ в обслуживании и раскрытие содержимого соседних областей памяти. Для оператора остановка процесса означает потерю связи с частью функций управления на время сбоя.

Агента Cipher разработала Causal Security. По словам сооснователя компании Шубхама Раджа, агент изучил незнакомую ему систему, нашёл четыре ранее неизвестные ошибки и проверил возможность их эксплуатации за 3 часа 49 минут. Первичное исследование прошло без участия человека; затем человек разрешил более глубокую проверку в защищённой среде. Исправления вошли в EPICS Base 7.0.11. Американское агентство CISA предупредило, что эксплуатация этих ошибок может вызвать отказ в обслуживании, повредить память, раскрыть данные или позволить выполнение произвольного кода.