# Sterowniki PLC i panele WAGO z firmware poniżej 4.10.0 mają trzy podatności w CODESYS Control

Według biuletynu CERT@VDE, zaktualizowanego 6 listopada 2026 r., dwie podatności pozwalają zdalnie wywołać odmowę usługi, a trzecia wykonać kod po otwarciu zmanipulowanego pliku projektu. Poprawką jest firmware 4.10.0 (FW32).

- Adres: <https://pelnomocnikcyber.pl/aktualnosci/wago-codesys-control-podatnosci-firmware/>
- Rodzaj: Streszczenie
- Data publikacji: 09.11.2026
- Kategoria: [Zarządzanie ryzykiem](https://pelnomocnikcyber.pl/kategorie/zarzadzanie-ryzykiem/)
- Redakcja: [Paweł Rosół](https://pelnomocnikcyber.pl/autor/pawel-rosol/)
- Źródło: [CERT@VDE](https://certvde.com/en/advisories/VDE-2025-081/) (21 września 2026)
- Licencja: [CC BY 4.0](https://creativecommons.org/licenses/by/4.0/deed.pl)

CERT@VDE opublikował 21 września 2026 r. biuletyn VDE-2025-081 o trzech podatnościach w CODESYS Control, które dotyczą urządzeń WAGO, a 6 listopada go zaktualizował. Zagrożone są sterowniki PLC i komponenty komunikacyjne z firmware w wersji niższej niż 4.10.0 (FW32) albo z firmware custom w wersji niższej niż 4.10.0 (70): CC100, Edge Controller, PFC100 G2, PFC200 G2, PFC300 i panele TP600. W aktualizacji CERT@VDE dopisał do listy PFC300, usunął z niej WP400 i poprawił oceny CVSS.

Dwie podatności pozwalają nieuwierzytelnionemu atakującemu zdalnie wywołać odmowę usługi. CVE-2025-41738 (CVSS 7,5) dotyczy serwera wizualizacji w środowisku uruchomieniowym CODESYS Control, a CVE-2025-41739 (CVSS 5,9) serwerów komunikacyjnych na Linuksie i QNX; w tym drugim przypadku atakujący musi trafić w wyścig (race condition). Trzecia, CVE-2025-41700 (CVSS 7,8), pozwala wykonać dowolny kod: atakujący nakłania lokalnego użytkownika do otwarcia zmanipulowanego pliku projektu w środowisku programistycznym CODESYS, a kod wykonuje się w kontekście tego użytkownika. Według CERT@VDE odmowa usługi może zakłócić pracę sterowania przemysłowego, a wykonanie kodu narusza integralność, poufność i dostępność systemu.

Jeśli w twojej sieci OT pracują urządzenia WAGO z tej listy, sprawdź wersję firmware. Producent zaleca aktualizację do **wersji 4.10.0 (FW32) lub nowszej**, a po najnowszy firmware custom trzeba zgłosić się do wsparcia WAGO.

INCIBE-CERT opublikował 1 października 2026 r. osobny biuletyn INCIBE-2026-684 o dwóch innych podatnościach o wysokiej ważności w produktach CODESYS. CVE-2026-79625 to błąd synchronizacji w komponencie CmpMonitor2, który może wykorzystać uwierzytelniony atakujący zdalny z dostępem do funkcji monitorowania. CVE-2026-76992 dotyczy CODESYS Gateway Client: atakujący kontrolujący złośliwy gateway może wywołać nadmierne zużycie pamięci i odmowę usługi. W tabeli INCIBE-CERT przy obu pozycjach stoi, że nie ma informacji o wykorzystaniu. Wśród produktów są CODESYS Control for PFC200 SL i CODESYS Control for WAGO Touch Panels 600 SL, dla których poprawką ma być wersja 4.23.0.0, zapowiedziana na czwarty kwartał 2026 r.

## Źródła

- [CERT@VDE: WAGO: Multiple PLCs and Communication Components are Affected by multiple Vulnerabilities leading to RCE](https://certvde.com/en/advisories/VDE-2025-081/)
- [INCIBE-CERT (avisos SCI): Múltiples vulnerabilidades en productos de CODESYS](https://www.incibe.es/incibe-cert/alerta-temprana/avisos-sci/multiples-vulnerabilidades-en-productos-de-codesys-4)

## Pojęcia w tym tekście

- [Podatność](https://pelnomocnikcyber.pl/slownik/podatnosc/): Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.
- [Sterownik PLC](https://pelnomocnikcyber.pl/slownik/sterownik-plc/): Programmable Logic Controller: przemysłowy komputer, który według zapisanego programu bezpośrednio steruje pompą, zaworem albo silnikiem.
- [CVSS](https://pelnomocnikcyber.pl/slownik/cvss/): Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach.
- [Odmowa usługi](https://pelnomocnikcyber.pl/slownik/odmowa-uslugi/): Stan, w którym urządzenie przestaje działać normalnie. W tej podatności zdalny atakujący powoduje nieoczekiwany restart zapory.
- [Technologia operacyjna](https://pelnomocnikcyber.pl/slownik/ot/): Systemy, które sterują procesami fizycznymi: sterowniki, SCADA, automatyka w wodociągach i energetyce. W tekstach zostaje angielski skrót OT.

## Jak powstała ta wiadomość

Szkic tej wiadomości przygotował model językowy na podstawie źródeł zebranych 9 listopada 2026; tekst sprawdził i zatwierdził autor przed publikacją.