Schneider Electric: آسیب‌پذیری در PowerChute Serial Shutdown (CVE-2026-13348)

خلاصه
اطلاعات این خبر بر اساس اطلاعیهٔ منتشرشده توسط Schneider Electric و بازنشر‌شده در فید CISA Cybersecurity Advisories است. Schneider Electric آگاه است که در نرم‌افزار مدیریت UPS موسوم به PowerChute Serial Shutdown آسیب‌پذیری‌هایی وجود دارد که می‌تواند به دلیل محدود نکردن مناسب تلاش‌های احراز هویت منجر به دسترسی غیرمجاز شود. این وضعیت ممکن است باعث اختلال در عملیات و دسترسی به داده‌های سیستم گردد.

محصول‌های متأثر
- PowerChute Serial Shutdown Version 1.5 and prior
- رفع در نسخه: v1.6 (تأیید شده توسط تولیدکننده)
- شناسهٔ آسیب‌پذیری: CVE-2026-13348

توضیحات فنی
- نوع مسئله: CWE-307 — Improper Restriction of Excessive Authentication Attempts.
- شرح: در شرایطی که «پردازش بازهدایت» (redirect handling) غیرفعال باشد، مکانیزم محدودسازی تلاش‌های احراز هویت بدرستی اعمال نشده و مهاجم می‌تواند تعداد دلخواهی تلاش احراز هویت انجام دهد که می‌تواند منجر به دستیابی غیرمجاز به حساب کاربری گردد. منبع اشاره می‌کند که در صورت عدم اعمال اصلاحات ممکن است اختلال در عملیات و دسترسی به داده‌ها رخ دهد.

امتیاز و معیارها
- CVSS v3.1 Base Score: 5.3 (MEDIUM)
- Vector String: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

رفع و توصیه‌های ارائه‌شده توسط تولیدکننده
- نسخهٔ v1.6 از PowerChute Serial Shutdown شامل اصلاحات لازم است و برای دانلود در دسترس است:
• Windows: https://www.se.com/ww/en/download/document/SPD-PCSS_WIN_EN/
• Linux: https://www.se.com/ww/en/download/document/SPD-PCSS_LNX_EN/
- پس از نصب، سرویس به‌صورت خودکار راه‌اندازی مجدد می‌شود. مشتریان می‌توانند نصب موفق را با مشاهدهٔ اطلاعات نسخه در Control Panel یا صفحهٔ About در PCSS پس از ورود بررسی کنند.
- راهنمایی‌ها و دستورالعمل‌های سخت‌سازی در Security Handbook تولیدکننده موجود است.

توصیه‌های عمومی (از منبع)
- شبکه‌های کنترلی و دستگاه‌های راه دور را پشت فایروال قرار داده و از شبکهٔ کسب‌وکار جدا کنید.
- دسترسی از اینترنت به دستگاه‌های کنترل سیستم را به حداقل برسانید. در صورت نیاز به دسترسی از راه دور از روش‌های امن مانند VPN استفاده کنید و اطمینان حاصل کنید که VPN و دستگاه‌های متصل به‌روز و ایمن هستند.
- کنترل‌های فیزیکی را افزایش دهید و از ورود غیرمجاز به تجهیزات جلوگیری کنید.
- سیاست‌های بررسی رسانه‌های متحرک (USB، CD و غیره) و جداسازی دستگاه‌های متحرک از شبکهٔ کنترلی را اجرا کنید.

خلاصهٔ تحلیلی مستقل (کوتاه)
- شدت فنی آسیب‌پذیری در مقیاس CVSS متوسط ارزیابی شده است، اما به‌دلیل تأثیر بر مکانیزم احراز هویت مدیریت UPS، برای محیط‌هایی که از این محصول برای خاموشی‌های منظم و مدیریت انرژی استفاده می‌کنند (از جمله مراکز داده و کنترل‌های صنعتی) می‌تواند ریسک عملیات و دسترسی به داده‌ها ایجاد کند. منبع صراحتاً اعلام کرده که عدم اعمال اصلاحات ممکن است به «اختلال در عملیات و دسترسی به داده‌های سیستم» بینجامد.
- توصیهٔ فوری: نصب نسخهٔ v1.6 مطابق اطلاعیهٔ تولیدکننده؛ در کنار آن محدودسازی دسترسی شبکه‌ای به رابط مدیریت، نظارت بر لاگ‌های ورود و اجرای سیاست‌های دفاعی شبکه (فایروال، segmentierung، VPN ایمن) در کاهش ریسک مؤثر خواهد بود.

منبع
این بازنویسی و خلاصه بر پایهٔ اطلاعیهٔ Schneider Electric (SEVD-2026-223-01) و بازنشر آن در CISA Cybersecurity Advisories انجام شده است. برای جزئیات کامل و راهنمایی‌های بیشتر به اطلاعیهٔ رسمی و Security Handbook تولیدکننده مراجعه کنید.