Quatro vulnerabilidades no EPICS Base podem permitir que invasores derrubem processos em sistemas de controle usados em aceleradores de partículas, experimentos de fusão e outros grandes centros de pesquisa. Uma das falhas pode levar à execução de código.
A Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) divulgou os problemas em um alerta publicado na terça-feira, afirmando que eles afetam o EPICS Base 7.0.10 e versões anteriores. A agência recomenda atualizar para a versão 7.0.11.
As vulnerabilidades foram descobertas pelo Cipher, um sistema autônomo de pesquisa em segurança desenvolvido pela Causal Security.
O EPICS (Experimental Physics and Industrial Control System) é um conjunto de ferramentas de software de código aberto em que instalações científicas se apoiam para construir seus sistemas de controle, e o EPICS Base é seu componente central. Segundo a Causal, o sistema de controle do reator de fusão do ITER é baseado no EPICS, e a Advanced Photon Source do Laboratório Nacional de Argonne faz uso intenso dele.
A mais grave das falhas é a CVE-2026-114595 (pontuação CVSS de 9,8), um estouro de inteiro que pode ocorrer quando solicitações de rede são processadas. De acordo com a CISA, ela pode levar à alocação de memória com tamanho incorreto e, em seguida, o processamento de dados fornecidos pelo invasor poderia corromper a memória, provocar uma negação de serviço (DoS) ou, possivelmente, permitir a execução remota de código.
A exploração da CVE-2026-114596 (pontuação CVSS de 8,2) pode causar uma escrita fora dos limites da memória, deixando o processo instável ou provocando uma negação de serviço. A CVE-2026-114597 (pontuação CVSS de 7,5) é uma leitura fora dos limites que pode travar a aplicação e vazar dados da memória próxima, enquanto a CVE-2026-114598 (pontuação CVSS de 7,5) é um problema de confusão de tipos que pode ser acionado com dados de rede malformados, levando a uma negação de serviço.
As quatro falhas estão ligadas ao tratamento do Channel Access e do pvAccess, protocolos que o EPICS utiliza para a comunicação em rede. Shubham Raj, cofundador da Causal Security, explicou à SecurityWeek o que um ataque exigiria.
“Todas as quatro podem ser acionadas sem autenticação ou interação do usuário. O invasor precisa de acesso à rede dos serviços EPICS vulneráveis, normalmente nas portas TCP 5064 (Channel Access) ou 5075 (pvAccess). Isso poderia ocorrer por meio de um serviço exposto ou pelo acesso à rede interna de uma instalação”, disse ele.
Ataques podem interromper experimentos caros
Sobre as possíveis consequências operacionais das vulnerabilidades, Raj explicou: “Operacionalmente, isso poderia significar feixes de partículas interrompidos, experimentos prejudicados, perda de dados de monitoramento ou paradas caras de equipamentos de pesquisa críticos (por meio do abuso de execução remota de código).”
No entanto, a execução de código ainda não foi de fato alcançada. “O Cipher demonstrou a escrita de heap fora dos limites controlada pelo invasor e a queda do processo usando o AddressSanitizer”, disse Raj. Depois que essa escrita foi confirmada, ele não prosseguiu com a criação de um exploit funcional de execução remota de código.
O número de instalações EPICS expostas à internet também é desconhecido. Raj afirmou que uma verificação rápida no Censys identificou possíveis candidatos com base em portas expostas, mas nenhum pôde ser confirmado como EPICS.
Nenhuma exploração pública das falhas foi reportada à CISA.
As falhas foram encontradas em menos de quatro horas
Segundo a Causal, o Cipher precisou de cerca de 3 horas e 49 minutos para identificar as quatro vulnerabilidades. Ele começou sem nenhum conhecimento sobre o EPICS e não recebeu técnicas de ataque desenvolvidas para sistemas de controle científicos.
Nenhum humano orientou a primeira fase da análise. Depois, o sistema recebeu uma única instrução para examinar com mais atenção se as falhas poderiam ser exploradas.
A revisão do histórico do código feita pelo Cipher indica que as falhas têm entre aproximadamente 14,5 e 31,5 anos. Os mantenedores do EPICS foram notificados em 9 de junho e incorporaram as correções em julho e agosto.
No início deste mês, a pesquisa da Causal também levou a divulgações sobre o openPDC e o openHistorian, da Grid Protection Alliance, que processam medições da rede elétrica, e sobre a pilha de rede embarcada FreeRTOS-Plus-TCP.
