iba 反序列化严重漏洞致使 ibaPDA 与 ibaDatCoordinator 面临远程代码执行风险（CVE-2026-8024）

sec随谈
sec随谈

sec随谈

2026年6月22日 09:23
北京

在小说阅读器读本章

去阅读

未经身份验证的远程代码执行漏洞影响 iba 工业软件

一个严重的 iba 反序列化漏洞可能允许远程攻击者在 ibaPDA 和 ibaDatCoordinator 上执行任意代码。该漏洞被追踪为 CVE-2026-8024，在 CVSSv4 评分体系下获得 9.3 分，无需任何凭据，也无需用户交互即可触发。CERT@VDE 于2026年6月17日发布了相关安全公告。

上述两款产品在工业数据采集和自动化领域广泛应用，因此该漏洞使测量与过程数据系统直接面临风险。

iba 反序列化漏洞的工作原理

该漏洞的根本原因并不陌生。两款应用程序在对客户端与服务器端输入进行反序列化时，均未能对 .NET BinaryFormatter 实施适当限制。因此，攻击者可触发类型混淆并在受影响软件内执行任意代码。

由于代码在服务用户账户下运行，成功利用该漏洞还可实现权限提升。简而言之，远程未经身份验证的攻击者可能获得对目标系统的完全访问权限。该漏洞对应 CWE-502，即不受信任数据的反序列化问题。

受影响版本与修复方案

该漏洞影响 v8.14.0 之前的 ibaPDA 版本以及 v4.0.7 之前的 ibaDatCoordinator 版本。漏洞由 Tenable 研究人员发现并报告，CERT@VDE 负责协调披露工作。

iba 已发布修复版本，因此管理员应立即升级至 ibaPDA v8.14.0 或 ibaDatCoordinator v4.0.7。

补丁修复期间的缓解措施

若无法立即完成补丁修复，应将连接限制为仅允许本地主机访问，并收紧针对 iba 客户端和服务器的 Windows 防火墙规则。最重要的是，务必将上述服务与不受信任的网络隔离。

参考链接：

https://certvde.com/en/advisories/VDE-2026-051/