A CISA publicou o alerta ICSA-26-300-01 para quatro vulnerabilidades no EPICS Base, uma plataforma usada em sistemas de controle e automação. A mais grave, CVE-2026-114595, recebeu CVSS 3.1 de 9,8 e pode permitir corrupção de memória, negação de serviço e potencial execução remota de código por meio de uma requisição de rede.
O alerta abrange o EPICS Base release 7.0.10 e anteriores. A CISA associa o produto ao setor de manufatura crítica e informa que ele está implantado mundialmente. A correção indicada pela comunidade EPICS é atualizar para a versão 7.0.11.
O que é o EPICS Base
EPICS, sigla de Experimental Physics and Industrial Control System, é uma infraestrutura aberta usada para monitorar e controlar equipamentos distribuídos. O software aparece em instalações científicas, sistemas de instrumentação e ambientes que precisam transportar valores, estados e comandos entre processos de controle.
Uma falha na camada de processamento de mensagens pode afetar tanto a disponibilidade do serviço quanto a integridade dos dados de controle. O impacto real depende de como cada instalação expõe os serviços, de quais componentes estão conectados e do nível de privilégio do processo.
As quatro vulnerabilidades
A CVE-2026-114595 é um integer overflow no processamento de requisições de rede. O tamanho incorreto pode fazer o programa alocar uma quantidade inadequada de memória. O tratamento posterior de dados controlados pelo atacante pode causar corrupção de memória, indisponibilidade ou potencial execução remota de código.
A falha tem vetor de rede, baixa complexidade e não exige autenticação ou interação do usuário no cálculo CVSS. Por isso, qualquer serviço EPICS acessível a uma rede não confiável merece prioridade máxima de correção.
A CVE-2026-114596 ocorre quando valores de comprimento de mensagem não são validados corretamente durante o parsing do protocolo. O overflow pode resultar em escrita fora dos limites e instabilidade do processo, com possibilidade de negação de serviço. O CVSS 3.1 informado pela CISA é 8,2.
A CVE-2026-114597 está relacionada à validação insuficiente dos elementos ou comprimentos de uma mensagem de rede. A aplicação pode ler além dos limites do buffer alocado, provocando indisponibilidade e potencial exposição de conteúdo de memória adjacente. O CVSS 3.1 informado é 7,5.
A CVE-2026-114598 é uma falha de type confusion. A validação insuficiente de elementos ou comprimentos pode fazer a aplicação tratar um recurso como um tipo incompatível. O resultado pode ser negação de serviço e divulgação de conteúdo de memória adjacente. O CVSS 3.1 informado é 7,5, enquanto o CVSS 4.0 é 8,7.
Versão afetada e correção
O advisory lista como afetado o EPICS Base release 7.0.10 e anteriores. A recomendação é atualizar para o EPICS Base 7.0.11, disponível por meio dos repositórios da comunidade EPICS.
A atualização deve incluir os componentes efetivamente compilados e usados no ambiente. A comunidade também aponta correções nos repositórios epics-base e pvDataCPP. Verifique a procedência do código, registre a versão de cada componente e gere novamente os artefatos conforme o processo de mudança da organização.
Antes de atualizar uma instalação de controle, faça backup da configuração e teste a nova versão em um ambiente separado. Valide conexões, canais de processo, alarmes, telemetria, persistência de dados, reinicialização dos serviços e comportamento em caso de perda de comunicação.
Reduza a exposição enquanto a atualização não ocorre
Não exponha serviços EPICS diretamente à internet. Separe a rede de controle da rede corporativa com firewalls e permita somente os fluxos necessários. Se houver comunicação entre segmentos, documente origem, destino, porta e finalidade de cada regra.
Quando o acesso remoto for indispensável, use um método controlado, como VPN atualizada e jump server administrado. Restrinja a VPN a usuários, dispositivos e horários autorizados. Lembre-se de que uma VPN vulnerável ou um computador remoto comprometido pode reabrir o caminho até o sistema de controle.
Limite o acesso de gerenciamento, remova serviços não utilizados e evite executar componentes de controle com privilégios maiores do que o necessário. A segmentação não corrige as falhas, mas reduz a quantidade de origens capazes de enviar mensagens malformadas.
Como monitorar e investigar
Monitore reinicializações inesperadas, encerramentos de processos, picos de tráfego, mensagens malformadas, erros de parsing e alterações no comportamento dos canais. Correlacione os eventos do EPICS com logs de firewall, VPN, sistema operacional e estações de engenharia.
Uma falha de memória pode não deixar um indicador evidente de execução de código. Por isso, preserve logs e procure processos filhos inesperados, arquivos novos, conexões de saída incomuns e mudanças de configuração próximas aos horários de instabilidade.
Se houver suspeita de comprometimento, isole o componente de maneira coordenada com a operação, preserve evidências e avalie o impacto no processo físico antes de reiniciar ou restaurar. Depois da contenção, reinstale a versão corrigida a partir de uma origem confiável e revise credenciais, chaves e compartilhamentos acessíveis pelo host.
Cuidados em sistemas industriais e científicos
Disponibilidade não é o único critério. Uma atualização em uma instalação de controle pode afetar instrumentos, experimentos, linhas de produção e sistemas de segurança operacional. Faça uma análise de impacto, defina uma janela de manutenção e prepare um procedimento de retorno.
Documente quais serviços dependem do EPICS Base e quais pontos de controle ficam sem supervisão durante a manutenção. Mantenha uma forma segura de operar o processo e confirme com as equipes responsáveis que a atualização não altera limites, alarmes ou intertravamentos.
Conclusão
As quatro vulnerabilidades do EPICS Base mostram como uma falha no processamento de mensagens pode se transformar em risco de indisponibilidade, divulgação de dados e potencial execução remota de código. A CVE-2026-114595 é especialmente urgente por combinar acesso de rede, ausência de autenticação e CVSS 9,8.
Organizações que usam EPICS Base 7.0.10 ou anterior devem atualizar para a versão 7.0.11, testar a mudança e reduzir a exposição enquanto a manutenção não é concluída. Redes OT e científicas devem permanecer segmentadas, sem acesso direto à internet, com monitoramento de mensagens e acesso remoto controlado.
Fontes primárias
CISA: ICSA-26-300-01 — EPICS Base.
EPICS Controls: Suporte oficial da comunidade EPICS.
GitHub EPICS Base: Correção no repositório epics-base e correção no pvDataCPP.
CVE.org: CVE-2026-114595, CVE-2026-114596, CVE-2026-114597 e CVE-2026-114598.