Uma vulnerabilidade foi identificada no EcoStruxure™ Machine Expert HVAC da **Schneider Electric**, um software de programação usado para controladores lógicos **Modicon** M171-M172. A falha em aplicar as etapas de remediação necessárias pode expor informações sensíveis, potencialmente levando à divulgação de código-fonte protegido e subsequente perda de confidencialidade. [Ver CSAF](https://github.com/cisagov/CSAF/blob/develop/csaf_files/OT/white/2026/icsa-26-148-07.json) ## Produtos Afetados A vulnerabilidade afeta as seguintes versões: * EcoStruxure™ Machine Expert HVAC versões anteriores à 1.10.0 ### Detalhes da Vulnerabilidade | CVSS | Fabricante | Equipamento | Vulnerabilidades | | :----- | :--------------------- | :-------------------------------------------------------------------------- | :----------------------------------------------- | | v3 5.5 | Schneider Electric | Schnieider Electric EcoStruxure Machine Expert HVAC (SEVD-2026-132-01) | Armazenamento de Informações Sensíveis em Texto Claro | ### Contexto * **Setores de Infraestrutura Crítica:** Químico, Manufatura Crítica, Energia, Água e Esgoto * **Países/Áreas Implantadas:** Mundial * **Localização da Sede da Empresa:** França --- ## Vulnerabilidades ### **CVE-2026-6332**: Armazenamento de Informações Sensíveis em Texto Claro Esta vulnerabilidade (CWE-312) permite a divulgação de informações sensíveis, potencialmente levando à revelação de código-fonte protegido e perda de confidencialidade. Isso pode ocorrer quando um atacante autorizado obtém acesso ao código-fonte para edição ou compilação. [Ver Detalhes do CVE](https://www.cve.org/CVERecord?id=CVE-2026-6332) --- #### Produtos Afetados **Schnieider Electric EcoStruxure Machine Expert HVAC (SEVD-2026-132-01)** * **Fabricante:** Schneider Electric * **Versão do Produto:** Versões do Ecostruxure™ Machine Expert HVAC anteriores à 1.10.0 * **Status do Produto:** corrigido, conhecido_afetado * **CWE Relevante:** [CWE-312 Armazenamento de Informações Sensíveis em Texto Claro](https://cwe.mitre.org/data/definitions/312.html) --- ## Recomendações **Schneider Electric** e **CISA** recomendam as seguintes práticas recomendadas de segurança para mitigar o risco: * Localize redes de sistemas de controle e segurança e dispositivos remotos atrás de firewalls e isole-os da rede corporativa. * Instale controles físicos para impedir que pessoal não autorizado acesse sistemas de controle industrial e de segurança. * Coloque todos os controladores em gabinetes trancados e evite deixá-los no modo "Programação". * Nunca conecte o software de programação a nenhuma rede além da rede pretendida para aquele dispositivo. * Verifique todos os métodos de troca de dados móveis (CDs, unidades USB, etc.) antes de usá-los em terminais conectados a essas redes. * Minimize a exposição da rede para todos os dispositivos do sistema de controle e garanta que eles não sejam acessíveis pela Internet. * Quando o acesso remoto for necessário, use métodos seguros, como Redes Privadas Virtuais (**VPNs**). Garanta que as VPNs estejam atualizadas para a versão mais recente. Para obter informações mais detalhadas, consulte o documento [Práticas Recomendadas de Cibersegurança](https://www.se.com/us/en/download/document/7EN52-0390/) da **Schneider Electric**. --- ## Informações Adicionais Para mais detalhes e assistência sobre como proteger sua instalação, entre em contato com seu representante local da **Schneider Electric** ou com os Serviços de Cibersegurança Industrial da **Schneider Electric**: [https://www.se.com/ww/en/work/solutions/cybersecurity/](https://www.se.com/ww/en/work/solutions/cybersecurity/). Para mais informações relacionadas à cibersegurança nos produtos da **Schneider Electric**, visite a página do portal de suporte de cibersegurança da empresa: [https://www.se.com/ww/en/work/support/cybersecurity/overview.jsp](https://www.se.com/ww/en/work/support/cybersecurity/overview.jsp)