هشدار امنیتی SafeNest — تحلیل دفاعی Moxa AIG-302 و توصیه‌های اصلاح برای سازمان‌ها.
جدول مشخصات فنی آسیب‌پذیری
| CVE | CVE-2026-109813 |
|---|---|
| Vendor | Moxa |
| Product | Moxa AIG-302 |
| Severity | High |
| Score | CVSS v4.0: 8.6 |
| CWE | CWE-321 |
| Affected Versions | Firmware سری AIG-302 تا نسخه 1.4.0 و قدیمی‌تر |
| Authentication / Preconditions | بدون نیاز به احراز هویت، اما نیازمند دسترسی شبکه مجاور (Adjacent) به مؤلفه مربوط |
| PoC / CISA KEV | بهره‌برداری فعال و عضویت در KEV در منابع رسمی استفاده‌شده تأیید نشده است. |
| Fixed Version | Firmware امنیتی v1.4.1 |
هشدار امنیتی SafeNest و خلاصه مدیریتی
آسیب‌پذیری CVE-2026-109813 در Moxa AIG-302 با شدت High و امتیاز CVSS v4.0 برابر 8.6 گزارش شده است. موضوع اصلی استفاده از کلید رمزنگاری ثابت در مؤلفه Sysman و به خطر افتادن محرمانگی و تمامیت ارتباطات است. با توجه به جایگاه رایانه لبه صنعتی و ارتباطات OT در سازمان‌ها، این هشدار برای تیم‌های عملیات، امنیت و مسئولان مدیریت وصله تهیه شده است. پیش‌شرط‌های بهره‌برداری و نسخه‌های تحت تأثیر باید قبل از تعیین سطح ریسک عملی در هر محیط بررسی شوند. بهره‌برداری فعال و عضویت در KEV در منابع رسمی استفاده‌شده تأیید نشده است. تاریخ انتشار رکورد امنیتی: ۱۶ اکتبر ۲۰۲۶. این تحلیل صرفاً جنبه دفاعی دارد و شامل کد یا شیوه اجرایی حمله نیست.
خطر کلید رمزنگاری سخت‌کدشده در تجهیزات صنعتی
بولتن MPSA-262560 شرکت Moxa وجود ماده کلید خصوصی ثابت در مؤلفه Sysman بعضی رایانه‌های صنعتی را اعلام کرده است. چنین نقصی می‌تواند اصول یکتایی و محرمانگی کلید را تضعیف کند و در شرایط دسترسی مناسب، امنیت کانال‌های ارتباطی را زیر سؤال ببرد. این گزارش درباره نقص رمزنگاری است و نباید بدون مدرک آن را اجرای کد از راه دور نامید. CVSS v4.0 برابر 8.6 به دلیل تأثیر بالای آن بر محرمانگی و یکپارچگی ارتباطات اعلام شده است.
شرط بهره‌برداری و جایگاه دستگاه
بر اساس بولتن سازنده، این نقص از نوع حمله با دسترسی شبکه مجاور یا Adjacent است؛ بنابراین با آسیب‌پذیری‌هایی که از هر نقطه اینترنت قابل دسترسی‌اند تفاوت دارد. شرط حساب کاربری اولیه وجود ندارد، اما مهاجم باید در موقعیت شبکه‌ای لازم برای ارتباط با تجهیزات قرار بگیرد. در شبکه‌های OT، اتصال گیت‌وی‌ها به تجهیزات کنترلی، سامانه‌های نظارت و شبکه مدیریت باید بررسی شود. وجود مسیر غیرضروری میان شبکه اداری و تجهیزات لبه می‌تواند مواجهه را نسبت به طراحی تفکیک‌شده بیشتر کند.
نسخه اصلاحی و برنامه ارتقا
Moxa نسخه firmware v1.4.1 را برای سری AIG-302 منتشر کرده است. نسخه‌های 1.4.0 و قدیمی‌تر مشمول بولتن هستند. از آنجا که ارتقای فریمور در محیط صنعتی ممکن است با برنامه عملیاتی و وابستگی تجهیزات میدانی تداخل داشته باشد، کنترل موجودی دقیق، تهیه نسخه پشتیبان تنظیمات، تأیید سازگاری نرم‌افزارهای لبه و اجرای تغییر در پنجره نگهداری ضروری است. پس از ارتقا باید ارتباطات سالم، ارسال داده‌های صنعتی، سرویس‌های مدیریتی و صحت نسخه فریمور بررسی شود.
هم‌زمانی یک CVE دیگر در همین Advisory
این بولتن به CVE-2026-109812 نیز اشاره می‌کند که به ضعف کنترل مجوز در دسترسی به داده‌های حساس مربوط است. امتیاز رسمی آن در CVSS v4.0 برابر 6.9 است و از آستانه اصلی انتخاب خبر SafeNest یعنی امتیاز بالاتر از ۷ پایین‌تر قرار دارد. بااین‌حال به دلیل یکسان‌بودن محصول و نسخه وصله، برای تیم عملیات اهمیت زمینه‌ای دارد و باید هنگام ارتقای v1.4.1 به هر دو ضعف توجه شود. برای جلوگیری از اشتباه، این مورد در شمار CVEهای واجد معیار گزارش شبانه محاسبه نمی‌شود.
کنترل‌های امنیتی در شبکه OT
تا زمان به‌روزرسانی، ارتباط با گیت‌وی صنعتی را به شبکه‌ها و میزبان‌های مورد اعتماد محدود کنید. سیاست‌های ACL یا فایروال، جداسازی VLAN و منع ارائه مستقیم خدمات مدیریتی به اینترنت می‌توانند مسیرهای دسترسی را کاهش دهند. روی تجهیزات لبه، سرویس‌های بلااستفاده غیرفعال و اعتبارنامه‌های مدیریت بازبینی شوند. ثبت تغییرات پیکربندی، نظارت بر ارتباطات غیرمنتظره و بررسی یکپارچگی نرم‌افزار از اقداماتی است که همراه با Patch باید انجام شود. نگهداری نسخه وصله بدون آزمون عملکرد در محیط صنعتی نیز ریسک عملیاتی دارد.
بررسی دارایی‌ها و تعیین میزان مواجهه
شناسایی نمونه‌های واقعی Moxa AIG-302 اولین مرحله کار است. فهرست دارایی‌ها باید شامل محیط عملیاتی، آزمایشی، ماشین‌های مجازی، کانتینرها و نمونه‌های قدیمی باشد. در کنار نام محصول، نسخه اجرایی، مالک فنی، سطح دسترسی شبکه‌ای و اهمیت سرویس ثبت شود. برای تجهیزات در دسترس اینترنت یا سرویس‌هایی که با حساب‌های دارای دسترسی گسترده کار می‌کنند، اولویت رسیدگی بالاتر است. شرایط احراز هویت طبق منبع چنین اعلام شده است: بدون نیاز به احراز هویت، اما نیازمند دسترسی شبکه مجاور (Adjacent) به مؤلفه مربوط. نباید تنها بر اساس نسخه یا امتیاز عددی حکم کرد که یک سامانه قطعاً مورد نفوذ قرار گرفته است.
نسخه آسیب‌پذیر و برنامه اصلاح
محدوده تحت تأثیر طبق منابع: Firmware سری AIG-302 تا نسخه 1.4.0 و قدیمی‌تر. راهکار اصلاح یا وضعیت نسخه ایمن: Firmware امنیتی v1.4.1. قبل از اعمال تغییر، از اطلاعات و پیکربندی حیاتی نسخه پشتیبان تهیه کنید، الزامات سازگاری و پنجره نگهداری را تعیین نمایید و تأیید مالک سرویس را در فرآیند مدیریت تغییر ثبت کنید. برای سرویس‌های حساس، آزمایش وصله در محیط مشابه تولید توصیه می‌شود. پس از به‌روزرسانی، تنها اتکا به موفقیت ظاهری نصب کافی نیست؛ لازم است نسخه اجرایی دوباره خوانده شده و عملکرد اصلی سرویس و ارتباطات وابسته بررسی شود.
کنترل‌های جبرانی در صورت تأخیر وصله
چنانچه نصب نسخه امن بلافاصله امکان‌پذیر نیست، کاهش مواجهه باید به شکل مستند اجرا شود. دسترسی از شبکه‌های غیرقابل اعتماد محدود شود، درگاه‌های مدیریتی تنها برای میزبان‌های شناخته‌شده فعال باشند و اختیارات حساب‌ها با اصل حداقل دسترسی تطبیق داده شوند. سرویس‌ها و قابلیت‌های بلااستفاده غیرفعال شده و رویدادهای مرتبط به سامانه پایش مرکزی ارسال شوند. این کنترل‌ها ریسک را کم می‌کنند اما تضمین رفع نقص نیستند. هر استثنا باید مالک، تاریخ انقضا، روش پایش و تصمیم بعدی داشته باشد.
پایش، پاسخ به رخداد و اعتبارسنجی
تیم SOC باید الگوهای غیرعادی ورود، تغییر پیکربندی، ارتباطات شبکه و رفتار فرایند را با خط مبنای سلامت مقایسه کند. در صورت وجود شواهد مشکوک، داده‌های ثبت‌شده در سامانه‌های مستقل از میزبان آسیب‌پذیر ارزش ویژه‌ای دارند. تیم پاسخ به رخداد لازم است قبل از پاک‌سازی یا نصب مجدد، شواهد ضروری را طبق سیاست داخلی حفظ کند. پس از اصلاح، وضعیت سرویس، صحت داده‌ها، دسترسی کاربران و لاگ‌های امنیتی ارزیابی شوند. گزارش نهایی باید نشان دهد کدام دارایی‌ها اصلاح شدند، کدام موارد هنوز در معرض خطرند و چه کسی مسئول پیگیری آنهاست.
اولویت اقدام و جمع‌بندی
این ضعف با امتیاز 8.6 در رده High قرار دارد. اولویت نخست با دارایی‌های حیاتی، نمونه‌های در معرض شبکه نامطمئن و محیط‌هایی است که شرایط آسیب‌پذیری در آنها برقرار است. بهره‌برداری فعال و عضویت در KEV در منابع رسمی استفاده‌شده تأیید نشده است. در تصمیم‌گیری، علاوه بر امتیاز، میزان مواجهه، حساسیت اطلاعات، وضعیت بهره‌برداری واقعی و ظرفیت بازیابی را لحاظ کنید. تیم SafeNest توصیه می‌کند نتیجه اصلاح، شماره نسخه نهایی و شواهد کنترل‌های جبرانی در سامانه مدیریت آسیب‌پذیری نگهداری شود تا در ممیزی بعدی امکان اثبات کاهش ریسک فراهم باشد.
منابع و مستندات
این مطلب توصیه دفاعی است و وجود نسخه آسیب‌پذیر به معنی اثبات وقوع نفوذ نیست.