CERT@VDE publiceerde op 30 september 2026 advisory VDE-2026-097 over onjuiste synchronisatie in de monitoringfunctionaliteit (CmpMonitor2) van meerdere CODESYS Control-runtimes. Volgens de advisory kan een geauthenticeerde aanvaller op afstand met monitoringtoegang bij gelijktijdige verzoeken van meerdere clients onjuiste data-verwerking, storing of denial-of-service veroorzaken. Onder de getroffen producten noemt CERT@VDE onder meer CODESYS Control for WAGO Touch Panels 600 SL.
Kernfeiten
- Volgens CERT@VDE verwerkt de monitoringfunctionaliteit van getroffen CODESYS Control-runtimes lees- en schrijfverzoeken naar PLC-applicatiedata van het CODESYS Development System en andere clients zoals HMI’s; door onjuiste synchronisatie in CmpMonitor2 bij gelijktijdige verzoeken van meerdere clients kunnen onjuiste data worden gelezen of geschreven. (bron: CERT@VDE)
- CVE-2026-79625 heeft volgens de advisory CVSS v3.1-score 8.1 (AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H) en betreft een race condition (CWE-362). Een geauthenticeerde remote aanvaller met monitoringtoegang kan concurrente verzoeken misbruiken voor onjuiste dataverwerking of denial-of-service. (bron: CERT@VDE)
- Getroffen volgens CERT@VDE onder meer CODESYS Control RTE (SL), Control Win (SL), Control for Linux (ARM) SL, Control for PFC100/PFC200 SL, Control for PLCnext SL, Control for Raspberry Pi SL, CODESYS Control for WAGO Touch Panels 600 SL, CODESYS HMI (SL), CODESYS Runtime Toolkit, CODESYS Safety SIL2, CODESYS Virtual Control SL en CODESYS Development System 3 (versies volgens de advisory). (bron: CERT@VDE)
- PLC’s op basis van de CODESYS Runtime Toolkit of CODESYS Safety SIL2 zijn volgens CERT@VDE getroffen als zij gelijktijdige toegang door twee of meer clients via het CODESYS-protocol toestaan. De standaardconfiguratie van CODESYS Development System 3 is volgens de advisory niet getroffen; gelijktijdige toegang tot de meegeleverde Simulation Runtime kan alleen plaatsvinden als toegang door een externe client (zoals een HMI) expliciet is ingeschakeld. (bron: CERT@VDE)
- Oplossing volgens CERT@VDE: update naar versie 3.5.22.40 voor onder meer Control RTE/Win, Runtime Toolkit, Safety SIL2, HMI (SL) en Development System 3; update naar versie 4.23.0.0 voor onder meer Control for Linux, PFC100/PFC200, PLCnext, Raspberry Pi, WAGO Touch Panels 600 SL en Virtual Control SL — release van 4.23.0.0 volgens de advisory verwacht in Q4 2026. (bron: CERT@VDE)
Is de standaardconfiguratie van CODESYS Development System 3 getroffen?
Nee. Volgens CERT@VDE is de standaardconfiguratie van CODESYS Development System 3 niet getroffen. Gelijktijdige toegang tot de meegeleverde Simulation Runtime kan volgens de advisory alleen plaatsvinden als toegang door een externe client, zoals een HMI, expliciet via configuratie is ingeschakeld.
Welke update geldt voor CODESYS Control for WAGO Touch Panels 600 SL?
Volgens CERT@VDE: update naar versie 4.23.0.0. De release van die versie wordt volgens de advisory in Q4 2026 verwacht.
Bron
Datum bron: 30 september 2026. Dit bericht geeft alleen weer wat de bron zelf meldt, zonder eigen interpretatie (zie ons bronbeleid).