CERT@VDE publiceerde op 1 oktober 2026 advisory VDE-2025-102 over een kwetsbaarheid in de BACnet IP-stack van meerdere WAGO-apparaten. Volgens de advisory kan een aanvaller zonder authenticatie via BACnet File Objects willekeurige bestanden lezen of overschrijven (CVE-2025-41753, CVSS v3.1 9.8).
Kernfeiten
- Volgens CERT@VDE wordt de objectnaam van een dynamisch aangemaakt BACnet File Object als bestandspad gebruikt zonder voldoende validatie en zonder beperking tot de bedoelde map, zodat met relatieve paden bestanden elders in het bestandssysteem bereikbaar zijn. (bron: CERT@VDE)
- Impact volgens de advisory: een aanvaller kan zonder authenticatie willekeurige bestanden lezen of overschrijven. Dat kan gevoelige gegevens (zoals wachtwoordbestanden) blootleggen en leiden tot volledige overname van het systeem of verstoring van de dienst. (bron: CERT@VDE)
- Getroffen volgens CERT@VDE: WAGO-modellen 0750-811x, 0750-821x, 0751-9x01, 0752-8303-8000-0002, 0762-340x, 0762-420x, 0762-430x, 0762-520x, 0762-530x, 0762-620x en 0762-630x met wago_os_linux vóór 4.8.9 (FW30), ook custom-firmware. (bron: CERT@VDE)
- CVE-2025-41753 heeft volgens de advisory CVSS v3.1-score 9.8 (AV:N/AC:L/PR:N/UI:N) en valt onder CWE-22 (path traversal). (bron: CERT@VDE)
- Oplossing volgens de advisory: update naar firmwareversie 4.8.9 (FW30) of hoger; voor de nieuwste custom-firmware WAGO-support benaderen. (bron: CERT@VDE)
Is er een update voor de getroffen WAGO-apparaten?
Ja. Volgens CERT@VDE: update naar firmwareversie 4.8.9 (FW30) of hoger. Voor de nieuwste custom-firmware moet contact worden opgenomen met WAGO-support.
Bron
Datum bron: 1 oktober 2026. Dit bericht geeft alleen weer wat de bron zelf meldt, zonder eigen interpretatie (zie ons bronbeleid).