Uma vulnerabilidade recém-divulgada afeta várias versões da **Mitsubishi Electric CNC Series**, potencialmente levando a condições de negação de serviço (DoS). A vulnerabilidade, rastreada como **CVE-2025-2399**, surge da validação inadequada de índice, posição ou deslocamento especificado na entrada. ### Detalhes da Vulnerabilidade A **Cybersecurity and Infrastructure Security Agency (CISA)** publicou um aviso detalhando a vulnerabilidade. A exploração bem-sucedida pode permitir que um atacante remoto acione uma leitura fora dos limites enviando pacotes especialmente elaborados para a porta TCP 683. Especificamente, a vulnerabilidade é classificada como CWE-1285, Validação Inadequada de Índice, Posição ou Deslocamento Especificado na Entrada. ### Produtos Afetados As seguintes versões da Mitsubishi Electric CNC Series são afetadas: * M800VW (BND-2051W000) <=BB * M800VS (BND-2052W000) <=BB * M80V (BND-2053W000) <=BB * M80VW (BND-2054W000) <=BB * M800W (BND-2005W000) <=FM * M800S (BND-2006W000) <=FM * M80 (BND-2007W000) <=FM * M80W (BND-2008W000) <=FM * E80 (BND-2009W000) <=FM * C80 (BND-2036W000) vers:all/* * M750VW (BND-1015W002) vers:all/* * M730VW (BND-1015W000) vers:all/* * M720VW (BND-1015W000) vers:all/* * M750VS (BND-1012W002) vers:all/* * M730VS (BND-1012W000-**) vers:all/* * M720VS (BND-1012W000) vers:all/* * M70V (BND-1018W000) vers:all/* * E70 (BND-1022W000) vers:all/* * NC Trainer2 (BND-1802W000) vers:all/* * NC Trainer2 plus (BND-1803W000) vers:all/* ### Impacto A exploração bem-sucedida desta vulnerabilidade pode levar a uma condição de negação de serviço, interrompendo as operações que dependem dos sistemas CNC afetados. ### Mitigação A **CISA** recomenda as seguintes estratégias de mitigação: * Minimizar a exposição de rede para todos os dispositivos e sistemas de controle, garantindo que não sejam acessíveis pela internet. * Localizar redes de sistemas de controle e dispositivos remotos atrás de firewalls e isolá-los de redes corporativas. * Quando o acesso remoto for necessário, usar métodos seguros como VPNs, garantindo que as VPNs estejam atualizadas para a versão mais recente. * Realizar análise de impacto e avaliação de risco adequadas antes de implementar medidas defensivas. ### Recursos Adicionais Organizações que observarem atividades maliciosas suspeitas devem seguir os procedimentos internos estabelecidos e relatar as descobertas à CISA. [Ver CSAF](https://github.com/cisagov/CSAF/blob/develop/csaf_files/OT/white/2026/icsa-26-078-05.json)