文章总结： CODESYSControl运行时系统存在多个安全漏洞（CVE-2025-41658/41659/41660），攻击者可通过组合利用这些漏洞在通过身份验证后植入后门，获取设备完全控制权。该漏洞影响水处理、能源电网等工业领域，可能造成生产中断和设备损坏。CODESYS已在4.21.0.0版本修复漏洞，建议管理员立即更新系统、实施网络分段并监控异常流量。 综合评分： 85 文章分类： 漏洞分析,IoT安全,解决方案,安全运营,终端安全

攻击者可通过漏洞链在CODESYS应用中植入后门

FreeBuf

2026年4月29日 18:03 上海

在小说阅读器读本章

去阅读

#

全球广泛采用的基于软件的可编程逻辑控制器（Soft PLC）平台CODESYS Control运行时系统存在多个安全漏洞。Nozomi Networks实验室研究人员发现，攻击者通过组合利用这些漏洞，可在通过身份验证后，将合法的工业控制应用程序替换为植入后门的版本，从而将权限提升至对目标设备的完全管理控制。

#

Part01

影响广泛的工业控制系统

CODESYS被广泛应用于水处理设施、能源电网和自动化生产线等多个工业领域。由于这些PLC直接控制物理流程，漏洞利用可能导致生产中断、设备损坏或危险操作状况。CODESYS Control运行时系统负责管理自动化系统的实时输入/输出处理和网络通信。

Part02

新发现的安全漏洞

最新发现的漏洞涉及运行时系统处理文件权限和备份恢复的方式：

• CVE-2025-41658（5.5，中危）：默认权限设置不当，允许本地用户读取CODESYS密码哈希
• CVE-2025-41659（8.3，高危）：权限配置错误使低权限用户可访问敏感加密数据
• CVE-2025-41660（8.8，高危）：资源传输缺陷允许恢复被篡改的启动应用程序

Part03

攻击链工作流程

攻击者首先需要获取有效的服务级凭证。虽然标准安全控制通常能阻止此类行为，但攻击者可通过默认密码、入侵工程工作站或利用CVE-2025-41658提取哈希值来窃取凭证。通过身份验证后，攻击分多个阶段展开：

• 下载应用程序：利用平台备份功能从PLC下载活动启动应用程序
• 窃取加密密钥：利用CVE-2025-41659提取必要的加密材料，绕过可选的代码加密和签名保护
• 篡改并恢复：向二进制文件注入恶意机器代码，必要时重新签名，并利用CVE-2025-41660将植入后门的应用程序上传回设备
• 获取root执行权限：等待操作员重启应用程序或系统，注入的后门将以root权限运行
• 提升权限：通过root访问权限修改本地用户数据库，获取完整管理员权限

Part04

潜在危害与缓解措施

被入侵的Soft PLC可使攻击者改变执行器行为、修改安全设定值并覆盖关键系统联锁。

该攻击涉及多项MITRE ATT&CK for ICS技术，包括控制操纵（T0831）、模块固件修改（T0839）和运营信息窃取（T0882）。CODESYS集团已在CODESYS Control Runtime 4.21.0.0和Toolkit 3.5.22.0版本中完全修复这些问题。

Nozomi Networks指出，为防止进一步篡改，CODESYS现已默认强制要求所有PLC代码在部署或执行前必须进行代码签名。管理员应立即应用这些更新，实施严格的网络分段，并持续监控工业网络流量中的可疑活动。

参考来源：

Attackers Can Backdoor CODESYS Applications by Chaining Vulnerabilities

Attackers Can Backdoor CODESYS Applications by Chaining Vulnerabilities

推荐阅读

电报讨论

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：FreeBuf 《攻击者可通过漏洞链在CODESYS应用中植入后门》