A Rockwell Automation corrigiu quatro vulnerabilidades em seu software Arena Simulation que podem permitir a um atacante executar código arbitrário em um sistema afetado, segundo avisos publicados pela CISA (Agência de Cibersegurança e Segurança de Infraestrutura) e pela própria Rockwell.
O Arena Simulation é um software de simulação discreta por eventos que oferece às organizações um ambiente virtual para modelar, visualizar e testar fluxos operacionais complexos, permitindo identificar problemas e avaliar mudanças de processos antes de implementá-los em produção.
As quatro falhas de alta severidade — CVE-2026-8085, CVE-2026-8312, CVE-2026-8313 e CVE-2026-8314 — são problemas de corrupção de memória decorrentes da validação inadequada de dados fornecidos pelo usuário, que podem resultar em escrita fora dos limites (out-of-bounds write).
SecurityWeek lança o prêmio Critical Impact Awards para reconhecer a excelência em cibersegurança industrial.
Correção disponível e sem exploração remota
A exploração bem-sucedida pode permitir que um atacante execute código arbitrário no contexto do processo em execução. As versões do Arena até a 17.00.00, inclusive, são afetadas. A Rockwell corrigiu as vulnerabilidades na versão 17.00.01.
A exploração não é possível remotamente sem interação do usuário — um atacante precisaria convencer um usuário a abrir um arquivo malicioso para acionar qualquer uma das quatro falhas.
Michael Heinzl, o pesquisador que descobriu as vulnerabilidades, disse ao SecurityWeek que os tipos de arquivo envolvidos (arquivos de experimento e modelo do Arena) são abertos rotineiramente pelos usuários como parte dos fluxos de trabalho normais, o que significa que um arquivo armadilhado não necessariamente chamaria a atenção de um usuário do Arena em uma tentativa de engenharia social.
Ao ser questionado sobre o que um atacante poderia realisticamente alcançar, dado que o Arena é um software de simulação e não um sistema de controle industrial (ICS, na sigla em inglês) ativo, o pesquisador afirmou que a execução de código ficaria restrita aos mesmos privilégios do próprio processo do Arena. A possibilidade de um atacante migrar para sistemas mais sensíveis a partir daí dependeria de como a organização implantou e segmentou o Arena em sua rede.
O pesquisador também apontou a ampla presença do Arena como motivo para que as falhas sejam relevantes, apesar de o software não controlar diretamente processos físicos, citando materiais da própria Rockwell que descrevem a adoção entre grandes empresas globais da cadeia de suprimentos, hospitais em vários países e organizações como contratantes de defesa.
Os avisos publicados pela CISA e pela Rockwell indicam que não há evidências de exploração em ambiente real.
Heinzl observou que, na verdade, identificou 17 vulnerabilidades distintas no Arena, mas a Rockwell decidiu agrupá-las por componente afetado, o que resultou na atribuição de apenas quatro CVEs (Vulnerabilidades e Exposições Comuns).
O pesquisador publicou 17 avisos em seu site pessoal.
