CERT@VDE publiceerde op 1 oktober 2026 advisory VDE-2025-081 over meerdere kwetsbaarheden in de CODESYS Control-runtime op WAGO-apparaten. Volgens de advisory kunnen de kwetsbaarheden leiden tot denial-of-service en, bij het openen van een gemanipuleerd CODESYS-projectbestand, tot uitvoering van willekeurige code in de gebruikerscontext. Getroffen firmware: wago_os_linux vóór 4.10.0 (FW32) en custom vóór 4.10.0 (70).
Kernfeiten
- Volgens CERT@VDE zijn meerdere WAGO-PLC's en communicatiecomponenten getroffen door kwetsbaarheden in CODESYS Control; getroffen firmwareversies zijn wago_os_linux <4.10.0 (FW32) en custom wago_os_linux <4.10.0 (70). (bron: CERT@VDE)
- CVE-2025-41738 heeft volgens de advisory CVSS v3.1-score 7.5 (AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H) en betreft type confusion (CWE-843): een niet-geauthenticeerde aanvaller kan de visualisatieserver van de CODESYS Control-runtime laten crashen (denial of service). (bron: CERT@VDE)
- CVE-2025-41739 heeft volgens de advisory CVSS v3.1-score 5.9 (AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H) en betreft een out-of-bounds read (CWE-125) via crafted socket-communicatie (race condition), met mogelijke denial of service. (bron: CERT@VDE)
- CVE-2025-41700 heeft volgens de advisory CVSS v3.1-score 5.5 (AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N) en betreft deserialisatie van niet-vertrouwde data (CWE-502): een aanvaller kan een lokale gebruiker ertoe brengen een gemanipuleerd CODESYS-projectbestand te openen, waardoor willekeurige code in de gebruikerscontext wordt uitgevoerd. (bron: CERT@VDE)
- Getroffen volgens CERT@VDE onder meer de modelreeksen 0750-811x, 0751-9x01, 0752-8303/8000-0002, 0762-340x, 0762-420x/430x/520x/530x/620x/630x en 750-821x. (bron: CERT@VDE)
- Oplossing volgens de advisory: update naar firmwareversie 4.10.0 (FW32) of hoger; voor de nieuwste custom-firmware contact opnemen met WAGO-support. (bron: CERT@VDE)
Is er een firmware-update?
Ja. Volgens CERT@VDE: update naar firmwareversie 4.10.0 (FW32) of hoger. Voor de nieuwste custom-firmware moet contact worden opgenomen met WAGO-support.
Wat is het verschil met de BACnet-advisory VDE-2025-102 van dezelfde dag?
VDE-2025-102 betreft een kwetsbaarheid in de BACnet IP-stack (CVE-2025-41753, CVSS 9.8) met fix vanaf 4.8.9 (FW30). VDE-2025-081 betreft CODESYS Control-kwetsbaarheden met fix vanaf 4.10.0 (FW32). De getroffen modelreeksen overlappen sterk.
Bron
Datum bron: 1 oktober 2026. Dit bericht geeft alleen weer wat de bron zelf meldt, zonder eigen interpretatie (zie ons bronbeleid).