mySCADA myPRO Manager 修复两处身份验证缺口，其中一处被评为严重

mySCADA myPRO Manager 现被披露存在两项安全漏洞，其中一项评分为 9.8；原因是敏感接口在未进行身份验证的情况下接受请求。受影响版本为 2.1 及更早版本。厂商已在 2.2 版本中修复这些问题。

较为严重的漏洞通过产品的命令 API 暴露了特权管理功能。另一项漏洞则暴露了一个 HTTP 端点，可通过连接的 GSM 调制解调器发送任意文本消息。两条路径在接受相关请求前均不要求经过身份验证的账户。

这使便捷的工业管理与基本访问控制之间产生了明显冲突。myPRO Manager 可帮助运营人员配置互联环境，但存在漏洞的接口未能验证发出敏感命令的主体身份。由于 mySCADA 产品似乎已部署于全球各地的运营技术环境中，该问题的影响超出了普通 Web 应用范畴。

眼下的应对措施很明确：运营方需要识别受影响的安装实例、进行更新，并核实哪些网络能够访问其管理接口。更棘手的工作将在随后展开，尤其是对于隔离系统、无人管理的安装实例，以及停机使升级复杂化的环境。

mySCADA myPRO Manager 有何变化

披露信息指出存在两项独立的授权失败问题，但命令 API 漏洞带来的运营风险更高。

2026 年 9 月 15 日，CISA 发布了一份涉及 mySCADA myPRO Manager 的工业控制系统公告。其中指出，2.1 及更早版本存在 CVE-2026-73807 和 CVE-2026-82567 漏洞。

2.2 版本被列为不受影响。mySCADA Technologies 表示，该版本解决了这两个问题，并建议更新至最新可用版本。

CVE-2026-73807 涉及命令 API，即软件组件用于发出管理请求的接口。根据官方记录，该 API 未能对特权功能正确实施身份验证。

攻击者不需要已有账户。只要能够通过网络访问受影响的接口，攻击者便可尝试调用通常仅限获授权管理员使用的功能。

CVE 记录为该漏洞分配了 9.8 的 CVSS 3.1 评分，属于严重等级。其向量描述了一项可通过网络访问的漏洞，攻击复杂度低、无需权限，也不需要用户交互。

该记录还给出了 9.3 的 CVSS 4.0 评分。两项评估均表明，该漏洞可能对受影响系统的机密性、完整性和可用性造成较高影响。

这一评分并不意味着每个安装实例面临同等暴露风险。CVSS 基于标准化假设衡量技术严重性，并不了解某一具体命令 API 是否位于多层防火墙之后，或是否可从不受信任的网络访问。

CVE-2026-82567 影响通知网关，该网关通过 GSM 调制解调器将 myPRO Manager 与 SMS 发送功能相连。存在漏洞的 HTTP 端点接受电话号码和消息内容，随后指示调制解调器发送该文本。

该端点在此之前不要求身份验证。因此，具备适当网络访问权限的攻击者可以通过连接的调制解调器提交任意收件人和消息。

第二项漏洞的 CVSS 3.1 评分为 6.3，属于中等风险。其向量采用相邻网络攻击路径，而非 CVE-2026-73807 所采用的更广泛网络攻击路径。

这一差异很重要。SMS 漏洞通常要求攻击者能够访问相关本地或相邻网络。严重的命令 API 漏洞则具有更广泛的网络攻击分类。

不过，这两个问题具有相同的根本弱点：敏感操作在确认请求者是否有权执行之前便接受了输入。

CISA 将这些发现归功于 SECNORA 研究人员 Rajivarnan R. 和 Shirshak。漏洞由外部发现，并通过该机构的工业控制系统漏洞披露流程进行协调。

公告列出的受影响部署领域包括关键制造业、能源、食品与农业、交通运输以及供水和污水处理。公告称其部署范围覆盖全球，并列出该厂商总部位于捷克。

这些行业标签并不能证明每个受影响实例都直接控制物理流程。但它们说明，为何运营技术团队应密切关注该产品中的身份验证缺口。

为什么缺失身份验证在工业网络中更为重要

能够抵达工业管理接口的请求，其后果可能远远超出接收该请求的软件进程。

身份验证回答一个基本问题：谁在发出这项请求？授权则回答下一个问题：该身份被允许执行什么操作？

CVE-2026-73807 打破了特权管理功能周围的这一边界。官方描述未列举所有暴露的功能，因此防御人员不应假定存在超出已记录访问权限之外的具体结果。

不过，“特权管理功能”表明存在实质性的信任失效。原本为管理设计的接口在未实施应将管理员与其他系统区分开的控制措施时，便接受了网络请求。

CVSS 向量反映了这一担忧。它假设无需权限、无需用户交互、攻击复杂度低，并可能对机密性、完整性和可用性造成较高影响。

对于企业网站而言，访问控制失效可能会暴露数据或应用设置。在运营技术环境中，管理软件可能靠近监控设备、收集流程数据、分发告警或支持操作员决策的系统。

确切后果取决于每个部署环境。网络设计、连接设备、产品配置及暴露的功能都会影响实际风险。

这种差异性使资产上下文至关重要。与可从共享企业网段访问的生产管理器相比，断开连接的实验室安装实例并不具备相同的暴露程度。

面向互联网的安装实例则更为紧急。尽管公告未公布暴露系统数量，但任何直接的不受信任访问都会移除一道重要防线。

SMS 弱点的影响较窄，但同样揭示了架构问题。通知网关通常承载用户预期可信的运营告警。

攻击者若通过已知调制解调器发送任意消息，可能制造混乱、冒充常规通知，或消耗消息发送能力。官方记录并未声称攻击者能够读取既有消息或重新配置调制解调器。

防御人员应保留这一区别。已披露的能力是未经授权发送 SMS，而非已证实能够控制全部通知功能。

即便如此，任意消息在事件期间仍可能造成影响。操作员在远离控制室或其他通信渠道失效时，可能依赖短信告警。

欺诈消息可能被误认为合法系统警报。大量不需要的消息也可能使真实通知更难识别。

这些情景是合理的风险考量，而非已有文档记录的利用报告。公告证实了未经授权的发送路径，而每个组织都必须评估其运营后果。

工业环境还会改变团队修补漏洞的速度。生产环境在变更管理软件前可能需要计划停机、兼容性测试、厂商协调或安全审查。

这些控制有助于减少意外中断，但也可能延长易受攻击代码仍然部署的时间。因此，在更新流程之前、期间和之后，网络限制都至关重要。

便利性与访问控制发生碰撞

核心问题并非复杂的漏洞利用链，而是敏感功能在缺乏有效身份检查点的情况下被暴露。

管理 API 的存在，是因为手动管理无法扩展。它们让软件组件、控制台和服务能够通过定义明确的请求交换命令。

通知网关提供了类似便利。它们将工业事件与通信渠道连接起来，使软件能够通过 GSM 调制解调器发送警报。

两种设计都可能很有用。其安全性取决于：在请求者证明其身份已被接受并获得明确权限之前，将每一项传入请求视为不可信。

已披露的漏洞展示了这一流程中断时会发生什么。在命令 API 中，请求者无需经过预期的身份验证强制措施，便可访问特权功能。

在通知网关中，HTTP 端点会在验证用户是否获授权之前接受目标地址和消息数据，随后将所请求的消息传递给连接的调制解调器。

两条已记录的路径均不需要社会工程学手段。管理员无需打开恶意文件或批准提示。

这并不意味着利用会自动发生。攻击者仍必须获得所需的网络可达性、识别接口，并提交服务可接受的请求。

这些前提条件说明了为何网络架构仍然重要。与暴露在广泛内部网络中的服务相比，隔离在严格控制的管理区域内的易受攻击服务提供的攻击路径更少。

不过，网络分段是补偿性控制，而非对缺失身份验证的修正。网络会变化、防火墙规则会累积、远程访问路径会扩展，而受损的内部设备可能绕过有关可信位置的假设。

更安全的设计需要结合多层防护。应用程序对每一项敏感请求进行身份验证，授权机制限制可执行操作，网络则限制哪些系统能够访问接口。

日志记录随后应保存已接受和被拒绝的活动。监控应识别异常命令、意外源地址和不规则 SMS 目的地。

CVE-2026-73807 和 CVE-2026-82567 之所以重要，是因为它们削弱了这一模型的应用层。2.2 版本恢复了厂商支持的软件修复，而网络控制可降低其周边暴露风险。

这一对比也解释了严重程度的差异。命令 API 问题的评分反映了其可能对受影响系统三项核心安全属性造成的高影响。

SMS 端点获得较低的影响评级，并被归类为相邻网络攻击。其已记录的结果仅限于通过连接的调制解调器发送任意消息。

将两项发现视为完全相同，会掩盖修复优先级。忽视评分较低的问题，则会错过一条通过受信任通知渠道实施滥用的实际路径。

因此，团队应优先处理严重的命令 API 暴露问题，同时通过同一次升级解决两个漏洞。即使部署工作仍然复杂，单一版本边界也简化了软件决策。

厂商表示，当有新版本可用时，连接设备会在 mySCADA Pro Manager 中通知用户。离线环境则需要运营人员从管理器下载页面单独获取更新。

离线系统尤其值得关注。隔离可以降低暴露面，但也会失去自动更新通知，并可能使过时软件逃过集中化资产清单工具的发现。

气隙绝不能替代版本感知。便携式介质、临时维护连接、笔记本电脑和错误配置的路由，都可能形成原始设计中不存在的访问路径。

补丁很明确，但部署风险仍然存在

2.2 版修复了已记录的软件缺口，但组织仍需证明每一处受影响的安装都已完成修复。

供应商的修复措施很直接：将 mySCADA myPRO Manager 更新至 2.2 或更高版本。受影响范围截至 2.1 版。

这种明确性消除了一个常见的困惑来源。对于这两个 CVE，团队无需在不同分支之间比较多个补丁。

运营层面的挑战在于资产清单。组织必须识别产品的运行位置、每个安装实例使用的版本，以及各网络区域中哪些接口可被访问。

这项工作可能暴露出与新公告无关的缺口。工业软件可能部署在工程师工作站、专用管理系统、临时调试设备，或不受常规企业流程维护的机器上。

可靠的资产清单应包含应用程序版本、主机身份、网络位置、系统所有者、运行功能及允许的通信路径。还应记录是否连接了 GSM 调制解调器。

调制解调器这一细节决定了特定部署中是否存在已记录的 SMS 路径。未配备该组件的安装实例不会面临同样实际的 CVE-2026-82567 场景。

命令 API 需要单独分析。团队应识别所有被允许访问它的来源，并确认是否有路径来自用户网络、无线网段、供应商访问系统或公共互联网。

仅有一条防火墙规则并不能证明隔离。数据包流测试和配置审查能更有力地证明只有预期的管理系统可以连接。

升级前，运营人员应确认备份与恢复流程。他们还应了解管理器在更新后行为发生变化时，可能出现故障的依赖项。

测试应聚焦于正常管理操作、告警传递、SMS 通知、身份验证以及与受管系统的连接。目的是在生产环境部署前发现兼容性问题。

随后，团队应记录变更后的已安装版本。更新通知或已下载安装程序，并不能证明每台主机都已成功完成升级。

无法立即修补时，降低暴露面就变得紧迫。应通过防火墙和分段网络区域，将对管理接口的访问限制为明确获授权的系统。

远程管理应采用受控访问路径，而非直接暴露应用程序。CISA 已有的工业安全指南建议尽量减少暴露、将控制网络与业务网络分离，并采用安全的远程访问方法。

其纵深防御指南将网络架构、访问控制、监控和事件响应视为互补的保障措施。任何一项都不应被视为已修复软件的永久替代方案。

临时控制措施应明确负责人和到期日期。否则，紧急设置的防火墙限制可能悄然成为长期应对方式，而易受攻击的版本仍继续安装运行。

监控同样需要针对具体部署的信号。团队可以审查对命令 API 的连接、升级后的认证失败事件，以及对通知端点的异常请求。

对于启用了 SMS 的系统，运营人员应将调制解调器活动与预期告警进行比对。无法识别的目标号码、异常的消息内容和不正常的发送频率都值得调查。

历史日志有助于判断修复前是否发生过可疑活动。然而，如果易受攻击的端点缺乏足够日志记录，缺少日志条目并不能证明从未发生过尝试。

事件响应人员应保留相关的网络、主机、应用程序和调制解调器记录。如发现活动可疑，应遵循既定的升级和报告流程。

该公告未提供公开的利用叙述。这限制了防御方对于攻击者行为、工具或已观察到受害者的判断。

但这并不会降低未经身份验证的管理路径在技术层面的严重性。暴露程度和任务影响应决定各组织响应的速度。

mySCADA 曾出现过更早的高严重性问题

这些新漏洞属于更广泛模式的一部分：管理功能会成为攻击者能够直接测试的安全边界。

CISA 曾发布涉及 mySCADA 产品的公告。这些早期案例并不能证明存在共同的技术原因，但能为防御方提供有用背景。

2022 年，CISA 描述了 mySCADA myPRO 8.26.0 及更早版本中的命令注入漏洞。已认证用户可修改参数并运行操作系统命令。

这一早期 myPRO 问题的 CVSS 3 评分为 9.9。供应商建议更新至 8.27.0 或更高版本。

2026 年的命令 API 漏洞在一个关键方面有所不同：其公开攻击向量无需任何权限，而 2022 年的问题需要已认证用户。

公告记录中的产品和版本方案也不同，因此运营人员不应推断这些公告之间存在直接的升级路径。每个受影响的安装实例都必须与具体产品和版本信息进行匹配。

另一份 2025 年公告涵盖了多个 myPRO Manager 漏洞，其中包括操作系统命令注入。这段历史进一步强调，应将管理组件视为高价值资产。

这并不意味着某一家供应商具有独特的脆弱性。工业产品中的管理接口通常集中了承载攻击者价值的能力。

它们会暴露配置、通信、凭据、更新机制或与受控环境的连接。因此，一项缺失的控制措施可能削弱多项下游保障。

这正是漏洞管理应按产品功能而非仅按 CVE 数量跟踪产品的原因。管理服务器应获得优先处理，因为其角色可能放大遭入侵的影响。

同样的逻辑也适用于远程访问设备、工程师工作站、数据历史库和通知网关。它们与运营的接近程度，使普通软件弱点具有更大的场景相关重要性。

组织也不应完全依赖醒目的评分。CVE-2026-82567 的评分为中等，但其遭滥用仍可能扰乱站点可信的告警流程。

反过来，9.8 的评分也不能证明一个隔离实例可从互联网遭到攻击。它表明，一旦攻击者能够到达易受攻击的服务，该漏洞便具有严重的技术特性。

有效的优先级排序结合严重性、暴露程度、可利用性、运营功能和恢复难度，同时也考虑系统是否已有可用的修复版本。

在这里，修复版本已经存在。因此，除非运营约束阻碍部署，否则长期继续使用 2.1 或更早版本会越来越难以合理化。

若确有此类约束，管理层应将其记录在案。记录应明确负责人、说明依赖关系、列出临时控制措施，并定义下一次审查日期。

这会将补丁延迟转化为一项受管理的风险决策。缺少这一流程，延迟就会成为无形的默认状态。

运营人员接下来应关注什么

接下来有价值的信号包括：经过验证的升级覆盖率、利用证据，以及确认敏感接口不再可被广泛访问。

首先，组织应衡量 2.2 或更高版本的采用情况。最重要的内部指标并非补丁是否已下载，而是每项受影响资产是否都已报告运行修复后的版本。

这一衡量应包括常规企业工具之外的系统。离线安装实例、由承包商管理的设备和测试环境，可能在生产环境更新完成很久后仍保留易受攻击的版本。

完整的结果能够强化即时软件风险已受到控制的结论。未识别或无法访问的资产会削弱这一结论。

其次，防御人员应关注权威来源中利用状态的变化。新的概念验证代码、已确认的攻击，或被纳入政府利用目录，都会改变响应的紧迫性。

截至发布时，可获得的公告材料描述了漏洞和修复措施，但未证实存在活跃的利用活动。读者应将这种缺失与“利用不可能”的证据区分开来。

披露后，威胁信息可能迅速变化。攻击者获得了明确的产品名称、受影响版本范围、弱点类别以及暴露功能的描述。

第三，运营人员应验证周边架构。更新应用程序不应结束对管理接口暴露面的审查。

从适当的网络区域进行扫描，可以确认命令 API 和通知网关是否仅接受来自获批准来源的连接。防火墙审查应得出相同结论。

如果宽泛网段仍可访问这些服务，环境就仍会不必要地暴露于未来缺陷。补丁修复已知漏洞，而网络分段可限制下一个未知漏洞的影响范围。

团队还应在更新后验证应用程序行为。敏感命令必须要求经过身份验证且获得授权的访问，SMS 端点必须拒绝未经身份验证的请求。

这些测试应在受控环境中依照获批准的程序进行。未经协调地对生产环境进行探测可能带来运营风险。

这些发现也值得对账户和访问设计进行审查。组织应识别谁管理该管理器、哪些服务账户与其交互，以及凭据如何受到保护。

即使身份验证已恢复，最小权限原则依然重要。有效账户只应获得其角色所需的功能。

日志记录值得进行最后一次检查。安全团队需要足够的细节，将请求与来源、身份、操作、结果和时间关联起来。

对于依赖调制解调器的通知，记录应将每条消息与触发它的事件或用户关联。这有助于区分合法自动化与未经授权的使用。

因此，对 mySCADA myPRO Manager 的实际响应不止于安装一个版本。先打补丁，然后验证可达性、访问强制措施、日志记录和资产覆盖情况。

如果贵组织运行 myPRO Manager，能否证明每个安装实例均已运行 2.2 或更高版本？能否同时证明不受信任的系统无法访问特权接口？

这两个答案决定近期结果。经确认的更新可修复已记录的漏洞。受限的网络访问和经过测试的身份验证，则可降低下一个被忽视接口演变为运营事故的可能性。