W skrócie
- Agent AI firmy Causal Security znalazł cztery nieznane wcześniej błędy w EPICS, oprogramowaniu do sterowania instalacjami naukowymi i przemysłowymi.
- Najgroźniejszy błąd ma ocenę 9,8 na 10. Poprawka jest w wersji 7.0.11.
- CISA nie zna przypadków wykorzystania tych błędów w atakach.
Najkrócej: 27.10.2026 amerykańska agencja CISA opublikowała ostrzeżenie o czterech błędach w EPICS, otwartym oprogramowaniu do sterowania instalacjami naukowymi. Zgłosił je Shubham Raj z firmy Causal Security, a według The Register znalazł je agent AI o nazwie Cipher.
Co znaleziono
- Cztery błędy, wszystkie w EPICS Base w wersji 7.0.10 i starszych.
- Najgroźniejszy ma CVSS 9,8 (krytyczny): błąd w obliczaniu rozmiaru pamięci, który może doprowadzić do uszkodzenia pamięci, a potencjalnie do uruchomienia obcego kodu.
- Trzy pozostałe mają oceny 8,2, 7,5 i 7,5: głównie wyłączenie usługi i możliwy odczyt sąsiednich fragmentów pamięci.
- Według The Register agent znalazł i potwierdził wszystkie cztery w 3 godziny i 49 minut, a początkowe śledztwo odbyło się bez udziału człowieka. Ten czas podaje współzałożyciel firmy, nie niezależny audyt.
Co z tym zrobić
- Zaktualizuj EPICS Base do wersji 7.0.11.
- Nie wystawiaj sieci sterowania do internetu i oddziel ją zaporą od sieci biurowej.
- Do zdalnego dostępu używaj aktualnego VPN.
CISA pisze, że nie zna publicznych przypadków wykorzystania tych błędów. Atak wymaga dostępu do sieci, w której działają podatne usługi.
Jak to czytać
Liczba czasu i przypisanie błędów agentowi pochodzą od firmy, która sprzedaje takie narzędzie, więc traktuję je jako deklarację producenta. Sama poprawka i oceny groźności pochodzą jednak z oficjalnego ostrzeżenia. Więcej o ochronie kodu i agentów piszę w hubie bezpieczeństwo kodu AI.