Vulnerabilidade no Schneider Electric Modicon M340 Deixa Dois Módulos Sem Correção

A Schneider Electric agora oferece correções para quatro linhas de produtos afetadas, mas a vulnerabilidade no Schneider Electric Modicon M340 ainda não tem patches para dois módulos de comunicação. A republicação da CISA em 17 de setembro dá nova visibilidade à falha mais de um ano após sua divulgação original.

Rastreada como CVE-2025-6625, a vulnerabilidade permite que um invasor de rede não autenticado envie um comando FTP especialmente elaborado que pode tornar um dispositivo afetado indisponível. Ela recebeu pontuação 7,5 no CVSS v3.1 e 8,7 no CVSS v4.0, ambas classificadas como Alta.

Esta não é uma vulnerabilidade descoberta recentemente. A Schneider Electric publicou sua notificação pela primeira vez em 12 de agosto de 2025 e depois adicionou correções para controladores e módulos ao longo de 2026. A CISA republicou a quarta revisão em 17 de setembro, criando um ponto de verificação útil para operadores que podem ter tratado a mitigação original como permanente.

A tensão central está entre a cobertura de patches e a exposição operacional. Quatro famílias de produtos agora têm firmware corrigido designado, enquanto BMXNGD0100 e BMXNOC0401 continuam dependentes de controles de rede. Essa divisão importa em ambientes industriais, onde atualizar um controlador pode envolver testes, aprovação de indisponibilidade e coordenação entre várias equipes.

O Aviso da CISA É uma Republicação, Não uma Nova Divulgação

A mudança imediata é uma distribuição federal mais ampla de um aviso já existente, combinada com um registro mais claro de quais produtos agora têm correções de firmware.

O aviso de setembro, ICSA-26-260-04, republica o aviso SEVD-2025-224-05 da Schneider Electric. A CISA descreve a publicação como uma conversão direta do registro Common Security Advisory Framework do fornecedor. CSAF é um formato legível por máquina para distribuir dados sobre vulnerabilidades, produtos e remediação.

Essa distinção evita uma conclusão enganosa. O aviso de setembro não estabelece que invasores começaram a explorar a falha neste mês. Também não revela uma nova vulnerabilidade que afete uma família diferente de controladores.

O aviso federal registra quatro revisões:

• 12 de agosto de 2025: a Schneider Electric divulgou a notificação original.

• 14 de abril de 2026: o fornecedor adicionou remediação para controladores Modicon M340.

• 11 de agosto de 2026: o fornecedor adicionou remediação para o módulo BMXNOR0200H.

• 17 de setembro de 2026: a CISA republicou a quarta revisão.

O histórico de atualizações é central para entender a situação. A divulgação inicial oferecia correções de firmware para os módulos BMXNOE0100 e BMXNOE0110, mas outros produtos afetados dependiam de mitigações. A Schneider Electric lançou posteriormente correções para o firmware do controlador M340 e para o BMXNOR0200H.

O mapa resultante de produtos é mais útil do que um único rótulo de gravidade. Ele distingue equipamentos que podem migrar para firmware corrigido daqueles que ainda precisam de controles compensatórios.

As configurações afetadas são:

• Firmware do controlador Modicon M340 anterior ao SV3.70.

• Firmware do BMXNOR0200H anterior ao SV1.7 IR27.

• Todas as versões do módulo M580 Global Data BMXNGD0100.

• Todas as versões do módulo de comunicação Ethernet X80 BMXNOC0401.

• Versões do BMXNOE0100 anteriores à 3.60.

• Versões do BMXNOE0110 anteriores à 6.80.

A Schneider Electric identifica o SV3.70 como o firmware corrigido do controlador M340. Ela identifica o SV1.7 IR27 para o BMXNOR0200H, a versão 3.60 para o BMXNOE0100 e a versão 6.80 para o BMXNOE0110.

BMXNGD0100 e BMXNOC0401 continuam sendo as exceções. O aviso estruturado atual lista todas as versões de ambos os módulos como afetadas conhecidas e fornece mitigações em vez de uma versão corrigida.

O aviso às vezes se refere a “BMXNOC401” em seu texto de remediação. O inventário de produtos e o catálogo da Schneider Electric identificam o modelo afetado como BMXNOC0401. Os proprietários dos ativos devem validar a referência comercial exata em vez de depender de um nome abreviado.

Portanto, a republicação da CISA altera a visibilidade, não o mecanismo técnico subjacente. Seu valor está em trazer novamente à tona um aviso cujo status de remediação mudou em etapas.

Para as equipes de segurança, a questão prática é se o registro de vulnerabilidades ainda reflete a resposta de 2025. Um chamado encerrado após a desativação do FTP talvez precise ser reaberto porque agora existe firmware corrigido para parte da base instalada.

Como Funciona a Vulnerabilidade no Schneider Electric Modicon M340

CVE-2025-6625 transforma um serviço de gerenciamento exposto em um risco remoto de disponibilidade, sem exigir credenciais ou interação do usuário.

A fraqueza subjacente é uma validação inadequada de entrada, classificada como CWE-20. A validação de entrada verifica se os dados recebidos seguem o formato e os limites esperados por um dispositivo antes de serem processados pelo software.

A Schneider Electric afirma que um comando FTP especificamente elaborado pode acionar uma negação de serviço. FTP, ou File Transfer Protocol, é usado para transferir arquivos entre sistemas conectados em rede. Em um ambiente de controladores industriais, fornecedores podem usá-lo para funções como o tratamento de arquivos relacionados à configuração ou ao firmware.

A falha pode ser alcançada pela rede. O vetor CVSS v3.1 atribui baixa complexidade de ataque, não exige privilégios nem interação do usuário. Seu impacto avaliado concentra-se na disponibilidade, e não na confidencialidade ou integridade.

O registro da vulnerabilidade descreve o mesmo mecanismo. Um invasor não precisa que um operador autenticado abra um arquivo malicioso ou aprove um aviso. O invasor precisa de conectividade de rede com o serviço FTP afetado.

Isso não significa que todos os dispositivos M340 instalados estejam igualmente expostos. A Schneider Electric informa que o FTP é desativado por padrão. Um dispositivo com o serviço desativado e devidamente filtrado no limite da rede apresenta um caminho de ataque diferente de outro com a porta 21 acessível em uma rede industrial plana.

No entanto, as configurações padrão não resolvem a questão. Sistemas industriais frequentemente permanecem em operação por anos, e suas configurações podem divergir da linha de base original. Integradores podem habilitar serviços para comissionamento, manutenção, backups ou suporte do fornecedor e deixá-los ativos posteriormente.

Assim, o proprietário de um ativo precisa de evidências de configuração, não de uma suposição. As verificações relevantes incluem se o FTP está habilitado, quais interfaces podem acessá-lo e se os controles de rede restringem a porta 21 a sistemas de gerenciamento autorizados.

A fraqueza também abrange diversas funções dentro da arquitetura Modicon. Ela afeta firmware de controladores, módulos de comunicação Ethernet, um módulo RTU e o módulo M580 Global Data. Uma planta pode ter mais de um componente afetado no mesmo sistema de controle.

Essa amplitude complica o trabalho de inventário. Apenas o modelo do controlador não revela se o rack inclui um módulo BMXNOC0401 ou BMXNOE0110 afetado. As equipes precisam identificar o firmware e as referências dos módulos no nível de cada componente.

As pontuações de gravidade reforçam a necessidade desse detalhamento. O CVSS v3.1 atribui uma pontuação base de 7,5. A avaliação atualizada do CVSS v4.0 chega a 8,7, impulsionada pela acessibilidade de rede e pelo alto impacto na disponibilidade.

Essas pontuações descrevem a gravidade técnica sob premissas padronizadas. Elas não calculam a consequência operacional em uma instalação específica. Perder a comunicação com um controlador de laboratório não equivale a perdê-la com equipamentos ligados à produção ou a serviços essenciais.

O aviso atual não relata roubo ou manipulação de dados como resultado direto. Ele descreve indisponibilidade do dispositivo. Esse impacto técnico mais restrito ainda pode gerar um incidente operacional grave quando um controlador ou módulo de comunicação oferece suporte a um processo sensível ao tempo.

Portanto, a vulnerabilidade no Schneider Electric Modicon M340 é melhor entendida como uma falha de disponibilidade acessível pela rede. Seu risco no mundo real depende da configuração do serviço, da segmentação, do firmware e do processo atendido por cada dispositivo.

Cobertura Parcial de Patches Cria o Verdadeiro Problema Operacional

A parte mais difícil não é entender o comando malicioso. É gerenciar uma frota mista em que alguns ativos podem receber patches e outros não.

Quatro grupos de produtos afetados têm uma versão corrigida especificada. Dois não têm. Isso divide a resposta entre remediação por firmware e controles compensatórios de rede.

Para o controlador Modicon M340, a Schneider Electric identifica o SV3.70 como corrigido. O fornecedor adicionou essa remediação em abril de 2026, cerca de oito meses após a notificação original.

Para o BMXNOR0200H, o SV1.7 IR27 contém a correção. Essa versão foi incluída no aviso em agosto de 2026, quase um ano após a divulgação inicial.

As correções anteriores para BMXNOE continuam fazendo parte da resposta. O BMXNOE0100 precisa da versão 3.60, enquanto o BMXNOE0110 precisa da versão 6.80. A Schneider Electric afirma que ambas as atualizações exigem reinicialização.

A notificação do fornecedor afirma que deixar de aplicar as correções disponíveis pode manter os dispositivos expostos à negação de serviço e à indisponibilidade resultante. Ela também relaciona as famílias de produtos afetadas a módulos Modicon M340, Modicon M580 e X80.

A exigência de reinicialização tem mais peso na tecnologia operacional do que frequentemente tem em um endpoint de escritório. Reiniciar um módulo de comunicação pode interromper monitoramento, tráfego de supervisão, troca de dados ou acesso de manutenção.

Uma organização não deve inferir que isso torna o patch opcional. Isso significa que a atualização deve fazer parte de um processo aprovado de mudança operacional. Esse processo deve considerar backups, compatibilidade, reversão, janelas de manutenção e validação após a atualização.

Os dois módulos sem versões corrigidas apresentam uma decisão diferente. Todas as versões de BMXNGD0100 e BMXNOC0401 continuam listadas como afetadas. A Schneider Electric afirma estar estabelecendo um plano de remediação para versões futuras e atualizará o documento quando a remediação estiver disponível.

Até que isso aconteça, os operadores devem tratar a configuração e a arquitetura de rede como controles primários. O fornecedor recomenda desativar o FTP quando não for necessário, segmentar a rede, bloquear tráfego não autorizado na porta 21 e usar túneis VPN para o acesso remoto necessário.

Essa resposta dividida pode gerar riscos desiguais dentro de uma mesma instalação. Uma equipe pode atualizar uma CPU M340, mas deixar um módulo de comunicação afetado acessível. Um painel pode então mostrar o controlador como atualizado, enquanto o rack ainda contém um caminho de rede vulnerável.

O status de aquisição também pode obscurecer o problema. O BMXNGD0100 está associado à família de produtos M580, enquanto o BMXNOC0401 é um módulo Ethernet M340 X80. Uma busca limitada a “firmware do controlador M340” pode não identificar ambos.

Portanto, os registros de ativos devem incluir ao menos a referência comercial, o firmware instalado, o estado do serviço, a zona de rede e o proprietário do negócio. Sem esses campos, as equipes não conseguem relacionar com confiança o aviso aos equipamentos implantados.

Há também um risco de cronograma. Organizações que avaliaram a notificação original de 2025 podem ter registrado apenas as mitigações disponíveis naquele momento. Versões posteriores de firmware não atualizam automaticamente os registros internos de exceção ou os planos de manutenção.

Isso cria pressão sobre três grupos. As equipes de segurança precisam reabrir e normalizar os registros de vulnerabilidades. Os engenheiros de controle precisam testar o firmware corrigido. Os líderes de operações precisam autorizar a interrupção quando uma reinicialização for necessária.

Nenhum desses grupos consegue resolver o problema sozinho. A equipe de segurança pode conhecer a CVE, mas não a consequência na produção. Os engenheiros podem entender o rack, mas não dispor de dados completos sobre a exposição. A equipe de operações pode controlar a indisponibilidade, mas não a validação do firmware.

O estado misto de remediação é o principal motivo pelo qual esta republicação importa. Ela transforma uma resposta antiga de “mitigar e monitorar” em uma tarefa mais precisa: corrigir quatro grupos de produtos e manter controles rigorosos em torno de outros dois.

Uma Pontuação Alta Não Comprova Exploração Ativa

O aviso respalda inventário e remediação urgentes, mas não sustenta alegações de uma campanha de ataques em andamento.

O registro estruturado da CISA não identifica exploração conhecida em campo. A vulnerabilidade também não é apresentada como uma entrada no catálogo de Vulnerabilidades Conhecidamente Exploradas da CISA.

Essa ausência deve orientar a linguagem da reportagem. A CVE-2025-6625 é explorável nas condições descritas pelo fornecedor, mas o aviso não estabelece que invasores estejam atualmente visando instalações Modicon M340 com essa técnica.

A distinção importa porque uma pontuação de severidade mede características técnicas intrínsecas. Ela não mede com que frequência uma vulnerabilidade está sendo varrida, transformada em arma ou usada contra um setor específico.

O vetor CVSS v3.1 explica por que a pontuação é Alta. Um invasor pode alcançar o serviço vulnerável pela rede, não precisa de privilégios, enfrenta baixa complexidade e não exige interação do usuário. A exploração bem-sucedida tem alto impacto sobre a disponibilidade.

Essas propriedades justificam ação rápida. Elas não eliminam a necessidade de análise do ambiente.

A posição na rede é a primeira variável. Uma rede de controle devidamente segmentada, com tráfego FTP não autorizado bloqueado, oferece menos rotas de ataque do que um controlador acessível a partir de redes empresariais amplas ou de acesso remoto.

O estado do serviço é a segunda variável. A Schneider Electric afirma que o FTP vem desativado por padrão. Os operadores devem verificar esse estado em cada ativo relevante e examinar se procedimentos de manutenção anteriores habilitaram o serviço.

A consequência operacional é a terceira variável. Uma condição de negação de serviço em um módulo de comunicação pode afetar funções diferentes dependendo do desenho do rack e da arquitetura do processo. O aviso público não calcula resultados de segurança ou produção específicos de cada planta.

A disponibilidade de correções é a quarta variável. Quatro grupos de produtos têm versões corrigidas, enquanto dois permanecem sem correções. Portanto, uma única organização pode ter diferentes riscos residuais para dispositivos abrangidos pela mesma CVE.

É aqui que o rótulo “Alta” pode tanto ajudar quanto induzir ao erro. Ele atrai atenção, mas pode incentivar uma resposta uniforme para um conjunto de produtos não uniforme.

A abordagem mais segura é tratar a pontuação de severidade como um sinal de triagem. As equipes devem então determinar se o componente afetado existe, se seu serviço FTP está acessível e se há firmware corrigido disponível.

A definição da fraqueza descreve a validação inadequada de entrada como uma ampla classe de falha de software. A classificação não revela o comando exato, o estado de falha ou o comportamento de recuperação de cada produto afetado.

As informações públicas também não fornecem um exploit de prova de conceito. Isso limita a análise independente de repetibilidade e recuperação dos dispositivos. As organizações devem evitar testar controladores de produção com tráfego FTP malformado.

O aviso legal da Schneider Electric informa que a notificação e as ações sugeridas são fornecidas sem garantia de que resolverão todas as situações. Esse aviso padrão reforça a necessidade de testes específicos para cada instalação, em vez de implantação cega.

Uma equipe de manutenção deve validar o firmware em hardware representativo, quando viável. Deve confirmar comunicações, comportamento da aplicação, retenção de configuração e recuperação após reinicialização antes de agendar uma implementação mais ampla.

Para os módulos sem correção, as equipes devem validar o próprio caminho de controle. Uma regra de firewall é útil apenas se cobrir todas as rotas até o dispositivo e continuar aplicada após alterações na rede.

A conclusão cética é simples. A vulnerabilidade merece ação porque pode ser alcançada remotamente e afeta a disponibilidade. O registro público não justifica apresentá-la como uma violação ativa, uma emergência global na internet ou um incidente de segurança confirmado.

A Segmentação de Rede Deve Sustentar os Módulos Sem Correção

BMXNGD0100 e BMXNOC0401 fazem dos controles compensatórios parte da defesa principal, e não uma nota administrativa temporária.

A mitigação da Schneider Electric começa pelo serviço FTP. O fornecedor afirma que ele vem desativado por padrão e deve permanecer assim quando não estiver em uso.

Os operadores devem verificar esse status diretamente. Registros de configuração, linhas de base de serviço aprovadas e observações da rede podem fornecer evidências mais fortes do que a documentação isoladamente.

Onde o FTP for necessário, o acesso deve ser limitado aos sistemas de gerenciamento específicos que o exigem. Uma regra ampla que permita a porta 21 em toda uma zona de controle preserva grande parte do caminho de ataque.

O fornecedor também recomenda a segmentação de rede. A segmentação separa sistemas em zonas controladas e restringe o tráfego que pode circular entre elas. Nesse caso, ela deve impedir que sistemas não autorizados alcancem módulos afetados via FTP.

Uma revisão prática deve examinar mais do que o firewall mais próximo. Gateways de acesso remoto, estações de trabalho de engenharia, jump hosts, conexões temporárias de fornecedores e sistemas com dupla conexão de rede podem criar caminhos alternativos.

A CISA recomenda separadamente posicionar sistemas de controle e dispositivos remotos atrás de firewalls e isolá-los das redes corporativas. Também aconselha minimizar a exposição à internet de dispositivos de controle industrial.

Esses controles estão alinhados às práticas de segurança mais amplas da Schneider Electric. As orientações incluem restrições de acesso físico, gabinetes de controladores trancados, conexões de programação controladas e verificação de mídias removíveis.

O uso de VPN exige cuidado semelhante. Uma VPN criptografa uma conexão, mas não torna o endpoint conectado confiável. Credenciais comprometidas ou um dispositivo remoto infectado ainda podem fornecer uma rota em direção à rede de controle.

O acesso remoto deve terminar em uma fronteira controlada, e não diretamente em uma sub-rede de controladores. Autenticação, autorização, registro de sessões e acesso limitado no tempo podem reduzir o risco de exposição persistente.

O plano de mitigação também deve definir quando o FTP pode ser habilitado. Por exemplo, um fluxo de manutenção documentado pode abrir o acesso por um período limitado, permitir apenas uma origem aprovada e fechar a regra após a verificação.

O monitoramento pode reforçar esses controles. Conexões inesperadas à porta 21, sessões malformadas repetidas ou tráfego vindo de novos endereços de origem merecem investigação. O aviso não publica uma assinatura de detecção específica do dispositivo; portanto, o monitoramento deve se concentrar em desvios da linha de base aprovada.

O planejamento de recuperação importa porque o impacto declarado é negação de serviço. As equipes devem saber se um dispositivo se recupera automaticamente, exige reinicialização ou precisa de intervenção de engenharia após uma falha.

O aviso público não responde a essas perguntas para todas as configurações. Os responsáveis pelos locais devem obter orientação de suporte específica para cada produto e incorporá-la aos procedimentos de resposta a incidentes.

Um plano de resposta deve preservar evidências quando as condições operacionais permitirem. Logs de rede, registros de firewall, eventos do dispositivo e históricos de manutenção podem ajudar a distinguir um ataque de falha de equipamento ou erro de configuração.

Para produtos corrigidos, a segmentação continua necessária. O firmware trata desta falha específica, mas não transforma um controlador industrial em um serviço apropriado para exposição à internet.

Para produtos sem correção, a segmentação se torna ainda mais importante porque nenhum firmware do fornecedor atualmente elimina a fraqueza. A arquitetura deve reduzir a chance de que um sistema não autorizado consiga entregar o comando malicioso.

Esse é o equilíbrio no centro da vulnerabilidade Schneider Electric Modicon M340. A conectividade oferece suporte à manutenção e à troca de dados, mas a acessibilidade desnecessária de serviços amplia o caminho para falhas.

Três Sinais Mostrarão se o Risco Está Sendo Reduzido

A próxima fase depende da conclusão das correções, de evidências reais de implantação e de qualquer mudança no cenário de ameaças observado.

O primeiro sinal é uma versão corrigida para BMXNGD0100 ou BMXNOC0401. Ambos continuam listados como afetados em todas as versões, e o aviso afirma que a Schneider Electric está desenvolvendo remediação para versões futuras.

Uma correção publicada para qualquer um dos módulos reduziria a lacuna entre a remediação por firmware e a dependência permanente de controles compensatórios. Isso reforçaria o argumento de que a vulnerabilidade pode ser eliminada em todo o conjunto de produtos.

O silêncio contínuo não significaria que as mitigações falharam. Significaria que os operadores devem continuar validando as restrições de FTP e a segmentação sem um ponto final de firmware para esses módulos.

O segundo sinal é a evidência de que os sistemas instalados realmente adotaram as quatro correções disponíveis. As versões relevantes são M340 SV3.70, BMXNOR0200H SV1.7 IR27, BMXNOE0100 3.60 e BMXNOE0110 6.80.

A publicação do fornecedor é apenas o início da remediação. Organizações industriais precisam testar, programar, implantar e verificar cada atualização. Reinicializações dos módulos BMXNOE podem tornar a conclusão mais lenta do que em um ciclo normal de correção de endpoints.

As organizações devem acompanhar a implantação por ativo, não por aviso. Uma porcentagem baseada apenas em tickets revisados pode ocultar controladores que nunca foram descobertos ou módulos omitidos do inventário original.

O terceiro sinal é uma mudança nas evidências de exploração. O registro público atual não identifica exploração conhecida, e a Tenable informa que nenhum exploit público conhecido está disponível.

Essa avaliação pode mudar. Uma prova de conceito, varredura observada de serviços FTP expostos, relatos de incidentes ou inclusão no catálogo de Vulnerabilidades Conhecidamente Exploradas aumentariam a urgência de isolamento e correção.

O inverso também é informativo. Se nenhuma exploração surgir enquanto as organizações reduzem a exposição ao FTP e implantam o firmware disponível, o risco residual se torna mais administrável. Ele não desaparece para os módulos sem correção.

As equipes de segurança devem revisitar agora a vulnerabilidade Schneider Electric Modicon M340, mesmo que tenham processado o aviso original de 2025. O cenário de remediação mudou duas vezes desde então, e a republicação da CISA consolida essas atualizações.

Comece com um inventário no nível dos ativos. Separe os seis grupos de produtos afetados, registre seus firmwares e verifique se o FTP está habilitado ou acessível.

Em seguida, atribua um de três estados a cada ativo: firmware corrigido instalado, firmware corrigido pendente ou nenhuma correção atualmente disponível. Essa classificação simples impede que um ticket de mitigação antigo esconda uma nova oportunidade de aplicação de correção.

Por fim, teste os controles em torno de BMXNGD0100 e BMXNOC0401. Apenas sistemas de gerenciamento aprovados conseguem alcançar a porta 21? O acesso remoto é intermediado e registrado? Uma sessão FTP inesperada acionaria uma investigação?

A vulnerabilidade Schneider Electric Modicon M340 não é um novo zero-day, e o aviso não documenta exploração ativa. Sua importância decorre de algo menos dramático: um caminho de remediação incompleto em equipamentos industriais de longa vida útil. A próxima atualização significativa será uma correção para os módulos restantes, implantação em campo verificada ou evidência confiável de que invasores começaram a visar a falha.