美国网络安全与基础设施安全局（CISA）近日发布紧急安全通告，披露了21个工业控制系统（ICS）中存在的严重安全漏洞。这些漏洞涉及多家全球知名工业巨头，包括西门子、施耐德电气、罗克韦尔自动化以及台达电子的产品。对于负责IT基础设施的管理者而言，这是一份必须立即核查的清单。
CISA在通告中详细解释，这些安全公告涵盖了工业控制系统相关的漏洞详情、潜在利用方式及已知攻击案例。受影响范围通常涉及大量设备，风险等级参差不齐。尽管部分漏洞被评估为中等风险，但仍有大量漏洞被标记为“高风险”，甚至包含若干“关键风险”级别的严重缺陷，对工业物联网（IoT）环境构成直接威胁。
针对部分高危漏洞，厂商提供了临时应对措施。例如，西门子Sentron 7KM PAC3200设备的一个关键漏洞暂无官方补丁，建议管理员通过设置PIN码来防止未授权操作。通告中不仅列出了具体的产品列表，还详细说明了各厂商的修复计划、现有补丁状态以及可行的变通方案（Workarounds），并提供了来自制造商的进一步指导。
受影响的设备清单相当庞大，涵盖了从核心控制器到辅助软件的多个领域。其中包括西门子SIMATIC S7-1500和S7-1200系列CPU、Simcenter Nastran仿真软件、Teamcenter可视化工具、Questa仿真器、SINEC安全监控器、RUGGEDCOM工业路由器以及Tecnomatix工厂仿真软件等。施耐德电气的Zelio Soft 2软件，以及罗克韦尔自动化的DataMosaix私有云、Verve资产管理器、Logix控制器和PowerFlex 6000T变频器等也位列其中。台达电子的CNCSoft-G2数控软件同样在列。
CISA强烈建议所有用户和系统管理员仔细阅读这些安全公告，深入理解技术细节并立即落实防护措施。脆弱的工业控制系统极易成为恶意攻击者的跳板，一旦失守，可能导致勒索软件攻击或敏感信息泄露。今年9月，FBI曾成功关闭一个由家用路由器、网络摄像头和NAS设备组成的庞大僵尸网络，这再次警示我们，工业领域的IoT设备若被利用，同样可能成为大规模网络攻击的“无人机”。
对于中国制造业从业者而言，此次事件凸显了供应链安全的重要性，在引入国际工业软件与硬件时，需建立更严格的漏洞响应机制，并关注国产化替代方案的成熟度，以规避潜在的供应链断供与数据泄露风险。
