工业网络安全周报-2026年第38期

OT工控安全领导者
OT工控安全领导者

安帝Andisec

2026年10月10日 11:30
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

本文预计阅读时间26分钟

BREAKING NEWS

本 期 摘 要

政策法规方面方面，NIST发布SP 800-82 Revision 4运营技术安全指南征求意见稿；CISA与FBI发布第三方ICS集成商风险防范告知书；OT网络安全联盟呼吁CISA以强制指令规范联邦OT安全。

漏洞预警方面方面，西门子S7系列可编程逻辑控制器曝严重远程代码执行漏洞；CISA发布10月6日ICS漏洞公告涉及江森自控与日立能源等多款产品；CISA发布10月8日六则ICS漏洞公告涵盖红狮与Lantronix等产品；施耐德Modicon M580等多厂商ICS产品修复严重认证漏洞。

安全事件方面方面，Anubis勒索软件组织声称入侵Leadec集团；Nightspire勒索软件组织将KSL Dirtworks列入泄露站点；The gentlemen勒索软件组织声称攻击Ability Enterprise；Akira勒索软件组织将Hygrade列入泄露站点。

风险预警方面方面，Bridewell报告称93%英国关键基础设施组织遭遇网络事件；Fortinet 2026年运营技术安全状况报告揭示多重入侵趋势。

安全技术方面方面，Rockwell Automation扩展SecureOT托管服务支持Fortinet防火墙；OPSWAT发布MetaDefender网闸固件4.3.0增强OT与IT数据共享；Cyber Scheme推出基于真实硬件的OT与PLC安全培训课程。

政策法规

1. NIST发布SP 800-82 Revision 4运营技术安全指南征求意见稿

2026年9月24日，美国国家标准与技术研究院发布《运营技术安全指南》第四修订版初稿并向公众征集意见，意见提交截止日期为2026年11月30日。该修订版将指南的行业覆盖范围由原来的电力、水务等关键领域进一步扩展至楼宇自动化、水务与废水系统、食品与农业、货运铁路、船舶以及工业物联网与云融合等新兴场景，首次把更多民生与交通关键设施纳入统一的安全框架。指南围绕网络安全框架2.0重新组织结构，将原风险管理章节聚焦于框架的治理功能，强调以治理驱动覆盖全生命周期的风险管控。在控制实施层面，研究院强化了资产管理和网络监测与检测的具体指引，并新增保护系统管理功能的安全架构建议与零信任原则的应用指南，要求将身份、网络分段与持续验证引入运营技术环境。整体内容兼顾系统性能、运行可靠性与安全性之间的冲突诉求，为关键基础设施运营方、设备供应商与安全评估机构提供一套可落地、可审计的运营技术安全防护基线，并建议运营方建立资产与通信流清单、在严格变更控制流程下实施补丁与配置加固。

资料来源：

https://csrc.nist.gov/pubs/sp/800/82/r4/ipd

2. CISA与FBI发布第三方ICS集成商风险防范告知书

2026年9月28日，美国网络与基础设施安全局与联邦调查局发布联合告知书，指导关键基础设施运营方在与第三方工业控制系统集成商合作时建立安全实践与框架，以降低共享运营环境面临的风险。文件援引联邦调查局对一起美国工业自动化方案商入侵事件的技术分析：2025年3月至4月，境外恶意网络行为者入侵该企业网络，该企业主要为电力公用事业与交通运输企业提供系统集成、工程咨询与监控数据采集编程服务；入侵期间攻击者搜寻监控数据采集系统与客户记录，并打包九份归档文件，内含八百份网络拓扑、设备配置与客户信息，可用于下游破坏性攻击。两机构建议运营方在合同与服务协议中纳入网络安全与供应链安全要求，明确数据存储位置、远程访问与补丁管理；评估并最小化设备互联网暴露，断开公网直连；监控集成商访问路径并要求其通过可审计通道接入；索取软硬件资产清单以掌握连接方式与更新机制；保持手动操作能力与恢复预案。告知书强调以最小权限原则约束集成商对工业过程的高权限访问，防范第三方通道成为破坏性攻击的跳板。

资料来源：

https://www.cisa.gov/resources-tools/resources/considerations-critical-infrastructure-operators-working-third-party-ics-integrators

3. OT网络安全联盟呼吁CISA以强制指令规范联邦OT安全

2026年10月6日，运营技术网络安全联盟发布《认识它、控制它、遏制它》报告，呼吁美国网络与基础设施安全局以约束性操作指令为联邦民用行政部门的运营技术设定强制性、可执行的安全基线，此时距政府问责局发现多数机构仍无法清点其运营技术设备仅过去一周。报告基于资产可见性、网络隔离、可强制远程访问控制、配置基线、事件准备与可验证备份恢复构建预防与遏制框架。政府问责局于9月30日报告指出，二十二个民用机构中仅七个满足管理与预算办公室对联网运营技术与物联网设备的清点要求，且该办公室尚未发布2026财年更新指引。联盟建议明确运营技术治理责任，指定高级官员统管资产清点、配置基线、备份恢复、事件准备与风险报告；将既有约束性指令延伸至运营技术并赋予监督角色；对接跨行业网络安全绩效目标，优先落实更改默认口令、多因素认证、网络隔离与系统备份等基础控制，将其定位为对现有韧性工作的前置预防补充，并强调在人工智能降低攻击门槛的背景下，以强制指令固化基础控制比单纯指南更能缩小执行落差。

资料来源：

https://www.otcybercoalition.org/post/otcc-calls-on-cisa-to-issue-a-binding-operational-directive-to-secure-federal-operational-technology

漏洞预警

4. 西门子S7系列可编程逻辑控制器曝严重远程代码执行漏洞

2026年10月3日，安全媒体披露影响多款西门子系列可编程逻辑控制器的严重远程代码执行漏洞，编号CVE-2026-25786，通用漏洞评分达9.8分（严重级）。该漏洞位于可编程逻辑控制器网络通信栈或管理接口，可经网络在无认证、无用户交互条件下远程利用，成功利用可实现对物理工业过程的完全控制，包括修改控制逻辑、启停生产工艺或使设备瘫痪。受影响设备广泛用于制造、能源、水务、楼宇自动化与交通等运营技术环境，且此前美国政府机构曾警告存在针对互联网暴露的该系列控制器的活跃威胁。虽然来源未确认该漏洞已在野外被利用，但鉴于可编程逻辑控制器公开漏洞利用库的存在与人工智能辅助漏洞利用门槛的降低，其武器化可能性很高。缓解方面，厂商已发布固件更新并敦促立即修补；建议将控制器置于隔离的运营技术网段、移除公网直连、限制仅授权工程站访问，并借助感知扫描与协议深度包检测发现未授权停机指令与固件篡改，同时对标准通信端口的异常连接保持警惕。

资料来源：

https://cyber.netsecops.io/articles/critical-9-8-cvss-rce-flaw-in-siemens-plcs

5. CISA发布10月6日ICS漏洞公告涉及江森自控与日立能源等多款产品

2026年10月6日，美国网络与基础设施安全局集中发布多则工业控制系统安全公告，覆盖建筑自动化、通信中间件与能源多条产品线。江森自控楼宇控制器因不当授权等缺陷（编号CVE-2026-27872、CVE-2026-27873，评分7.7）可遭未授权完全访问，公告初版转引自厂商安全公告。轻量级互联网协议邮件客户端存在缓冲区溢出（编号CVE-2026-15340，评分9.8），可崩溃设备并可能远程代码执行，影响特定版本邮件客户端。日立能源多款产品受影响：资产套件存在未授权服务访问、安全操作接口产品的消息中间件组件存在远程代码执行、某继电器系列以及远程终端单元系列（更新版）亦在列，其中远程终端单元相关发现由专业安全公司报告、关联已停止维护的固件版本。该局建议用户参照技术信息文件落实目标式入侵检测与缓解，及时应用厂商补丁，并对暴露资产优先处置高评分项。上述漏洞多数需结合暴露面与凭证弱点方能被利用，因此除补丁外，收敛互联网暴露与强化身份认证同样关键，运营方应同步开展资产清点与暴露面收敛。

资料来源：

https://www.cisa.gov/news-events/ics-advisories/icsa-26-279-01

6. CISA发布10月8日六则ICS漏洞公告涵盖红狮与Lantronix等产品

2026年10月8日，美国网络与基础设施安全局发布六则工业控制系统安全公告，覆盖工业交换机、历史数据库、卫星通信设计与医疗设备等多个领域。涉及红狮N-Tron 700工业交换机系列、Grid Protection Alliance开源时序数据库openPDC与历史库、Satel Netco卫星通信产品、Lantronix EDS3000PS/EDS5000串口设备服务器（更新版）、Pulsetto迷走神经刺激器（更新版，归医疗系列）以及日立能源远程终端单元系列（更新版）。各公告提供受影响版本、漏洞类型、技术细节与缓解措施，该局建议用户与管理员查阅对应公告评估风险并尽快部署补丁或加固配置。由于本公告横跨信息技术、运营技术与医疗设备，运营方应按资产关键性排序处置，并关注供应链与远程维护通道带来的间接暴露，遵循最小权限与网络隔离原则降低关键基础设施遭受利用的可能性。对医疗设备类公告，还应纳入临床工程与设施管理的协同流程，避免在维护窗口外引入不可用风险，确保修补与业务连续性之间取得平衡，建议建立统一的风险登记与处置台账，避免不同团队各自为政导致高危项被遗漏或重复处置。

资料来源：

https://content.govdelivery.com/accounts/USDHSCISA/bulletins/42e8407

7. 施耐德Modicon M580等多厂商ICS产品修复严重认证漏洞

2026年9月9日，多家工业自动化厂商集中发布工业控制系统与运营技术产品安全公告与补丁。施耐德电气修复一个影响Modicon M580系列可编程逻辑控制器及其安全型控制器的认证漏洞，通用漏洞评分9.2分，可导致未授权访问并对受影响系统完全妥协，属严重级别。西门子发布九则公告，其中四则为严重漏洞，并开始部署Siemens Linux内核缺陷（可获根权限访问）的修复，该缺陷评分7.8分。Aveva修复管道完整性监测系统的敏感数据暴露与口令安全问题；罗克韦尔自动化发布九则公告，涉及通信软件、工业控制器与工厂软件产品多个组件。相关机构建议运营方优先为暴露的运营技术资产应用厂商补丁，并在补丁前以网络隔离与访问控制降低被利用风险，同时建立固件版本清单以快速定位受影响设备，避免以可用性优先为理由长期暴露未防护的控制器。对于已停止支持的老旧型号，应评估替代或补偿性控制，防止遗留漏洞成为持久暴露点，并将补丁窗口与产线检修计划对齐，借助离线备份与分阶段灰度更新降低可用性风险，在变更后复测关键控制回路。

资料来源：

https://mallory.ai/stories/01a085df-0307-7345-84da-0a62a16ab025

安全事件

8. Anubis勒索软件组织声称入侵Leadec集团

2026年10月7日，勒索软件组织在某泄露站点将Leadec集团列为受害者并声称已入侵该制造企业，事件由公开勒索追踪平台于当日记录，估计攻击日期同为2026年10月7日。该组织威胁公开窃取的敏感企业数据以施加压力。来源未提供具体入侵手法、可能外泄数据量及受害者系统当前运行状态等技术细节，相关结论基于勒索运营方公开发布信息的索引，未被独立验证。Leadec集团为工业设施服务提供商，此类制造与设施支持企业因信息技术与运营技术融合加深而成为勒索软件重点目标。该事件凸显勒索软件对工业与制造组织的持续威胁，防御方应将此类入侵声称视为对数据机密性与业务连续性的可信威胁，重点监测未授权访问与数据外泄迹象，审查外部攻击面与凭据管理，并定期演练离线备份恢复，以降低双重勒索带来的运营与声誉损失。建议将勒索事件纳入运营技术专项预案，明确隔离、取证与有序恢复步骤，并将第三方服务商的远程通道纳入持续监测范围，对异常数据外传设置自动阻断与告警，减少从入侵到公开泄露之间的响应盲区。

资料来源：

https://qpulse.quasarcybertech.com/news/6433/anubis-ransomware-group-claims-attack-on-leadec-group

9. Nightspire勒索软件组织将KSL Dirtworks列入泄露站点

2026年10月8日，Nightspire勒索软件组织将美国KSL Dirtworks制造企业列入其暗网泄露站点。该组织于2025年3月出现，采用双重勒索模式（先窃取敏感数据再加密文件），以最短两天的赎金期限施压，已宣称在多个国家和地区超过两百五十名受害者，是全球最活跃的勒索组织之一。其惯于在加密前长期潜伏并窃取工程图纸与客户资料，对依赖连续生产的制造企业危害尤甚。该组织常用有效账户、暴力破解、利用面向公网应用与钓鱼等初始访问手法，并借助软件部署工具横向移动。美国为全球勒索攻击最频繁地区，制造业因停机直接转化为财务损失而备受青睐。防御建议包括维护经测试的离线备份、以网络隔离限制横向移动、对远程访问全面实施多因素认证、部署终端检测与响应以及订阅威胁情报监测活跃组织的失陷指标，制造企业尤其应缩短从披露到处置的响应窗口，避免被短期限勒索逼入被动。同时应定期验证备份可恢复性，防止备份本身在入侵中被加密或删除，确保恢复链路完整可信，并把勒索演练与业务连续性计划绑定，定期检验关键产线的手动运行能力。

资料来源：

https://cyberthreatintelligence.net/ransomware-victim/ksl-dirtworks-nightspire-2026

10. The gentlemen勒索软件组织声称攻击Ability Enterprise

2026年10月7日，the gentlemen勒索软件即服务组织将Ability Enterprise影像设备制造商列入其数据泄露站点，作为敲诈勒索行动的一部分。Ability Enterprise为总部位于中国台湾新北市的原厂委托设计与制造厂商，成立于1965年，是全球领先的数字影像与光学相机产品生产商，为机器人与无人机供应视觉模块，在中国与越南设有工厂，近年营收大幅增长，正推进战略转型。该勒索组织为出于经济动机的即服务运营方，通过外泄敏感数据并威胁公开披露施压受害者付款。该受害者记录源自多家公开追踪平台的开源情报汇聚，列入泄露站点并不等同于已确认入侵，相关细节尚未独立验证。事件反映具备高价值知识产权与全球供应链地位的硬件制造商正成为勒索与数据窃取的优先目标，应强化跨境协同的事件披露与止损机制，并将客户数据、设计图纸与源代码纳入重点保护对象，防范供应链连锁影响。建议客户与供应商在合同中明确安全事件通知时限与数据保护责任，并将知识产权资产纳入独立的加密与访问控制体系，降低高价值设计被一并外泄的概率。

资料来源：

https://ctiwatch.com/victims/42d7826c-36c0-4840-842f-0ca867b82afd-ability-enterprise

11. Akira勒索软件组织将Hygrade列入泄露站点

2026年10月6日，akira勒索软件组织将美国农业与食品生产领域Hygrade企业列入其公开泄露站点并声称实施入侵，相关信息基于该组织自身声明、尚未独立验证。Hygrade企业成立于1949年，是面向建筑与工业市场的安全与工业产品制造商及直接进口商。该组织在声明中称将上传企业数据，包括员工信息、项目与规格、保密协议等，并标注入侵日期与发现日期均为2026年10月6日，威胁等级标记为高。该事件反映农业与食品制造等基础行业正成为勒索软件重点目标，此类企业的生产连续性与供应链稳定性一旦中断将产生广泛次生影响，关乎民生供应。相关企业需强化凭据管理、网络隔离与数据备份，对远程访问实施多因素认证，并建立可快速切换的手动或降级运行预案，以降低运营中断与数据外泄风险，缩短从发现到恢复的窗口。建议将农业食品企业纳入关键供应链韧性评估，定期开展勒索情景演练，验证隔离与恢复流程的有效性，并将工业控制系统纳入威胁情报共享网络，及时获取针对该行业的失陷指标与防护建议，提升前置识别与主动防御能力。

资料来源：

https://hackerfeeds.com/ransomware/hygrade-by-akira-122yh

风险预警

12. Bridewell报告称93%英国关键基础设施组织遭遇网络事件

2026年10月8日，Bridewell发布关键国家基础设施网络安全报告，基于对关键国家基础设施组织网络安全负责人的调研显示，93%的受访组织在过去十二个月内经历过网络攻击或安全事件，半数因此出现信息技术中断或停机，三成以上记录到相关营收损失。钓鱼与商业邮件泄露仍是最主要攻击手法，平均每家组织每年发生十一次；恶意软件年均约八次。云环境已成为成功入侵最常见的入口，而过时的运营技术系统与遗留平台仍占相当比例，说明信息技术与运营技术边界失守持续放大影响。人工智能相关网络风险首次进入首要关切，近四成受访者将其列为顶级担忧，逾三成已部署人工智能工具用于自动化事件响应与威胁狩猎，监管成为安全投入改善的主要驱动力。报告提示相关运营方应在身份、网络分段与运营技术资产现代化方面加大投入，并将人工智能风险纳入年度安全规划与演练，缩小防御可见性缺口，同时指出云环境暴露与遗留运营技术并存使风险叠加，应在预算中优先安排身份治理与网络分段项目，以可量化指标衡量防护改善进度。

资料来源：

https://theintelligent.co.uk/technology/2026/bridewell-report-shows-ninety-three-cent-uk-critical-national-infrastructure

13. Fortinet 2026年运营技术安全状况报告揭示多重入侵趋势

2026年9月9日，Fortinet发布运营技术与网络安全状况报告。报告显示全球运营技术环境面临持续且上升的网络风险：约71%的受访组织在过去一年遭遇多次（两次及以上）入侵，勒索软件仍是首要威胁，约半数组织曾受勒索软件影响，且攻击已从信息技术侧向运营技术侧蔓延，物理生产中断成为直接后果。报告指出现在运营技术与信息技术融合加深使攻击面扩大，但多数组织在安全可见性、网络隔离与身份管控方面仍存缺口，过时的控制器与扁平网络架构加剧了暴露。Fortinet建议运营方优先建立资产可见性、落实分段隔离、强制远程访问多因素认证，并维持可验证的离线备份以提升对运营技术入侵的恢复弹性。报告还强调应将运营技术风险纳入企业整体风险管理，以运营韧性而非单纯合规作为安全投入目标，缩短检测与恢复的平均时间，避免事后被动补救，并把运营技术资产清点作为一切防护的前提，只有先看清资产与连接关系，分段、监测与备份等控制才能落到正确对象上，避免投入空转。

资料来源：

https://www.manufacturing.net/energy/blog/22974125/2026-state-of-operational-technology-and-cybersecurity-report

安全技术

14. Rockwell Automation扩展SecureOT托管服务支持Fortinet防火墙

2026年10月6日，Rockwell Automation宣布扩展其工业网络安全解决方案组合，新增防火墙托管服务与基础设施托管服务两项能力，帮助制造商在不替换既有投资的前提下强化并维护运营技术环境。防火墙托管服务现支持Fortinet防火墙，由Rockwell Automation代为执行全天候监控、告警管理、规则变更管理、补丁与固件更新，使客户以单一合同获得专业团队对防火墙健康与维护的统一管理。基础设施托管服务提供工业网络、服务器、虚拟化平台、防火墙及相关运营技术基础设施的专业监控、生命周期管理与运维支持，涵盖工业数据中心、虚拟设备与网络交换，并支持客户已拥有的多品牌设备。该厂商调研显示网络安全已位列制造商最关注的外部业务风险，新服务旨在以更低复杂度提升韧性、降低网络风险并维持生产连续，回应熟练运营技术安全资源稀缺的现状。建议制造企业在采用托管服务时明确责任边界、数据驻留与事件升级路径，避免责任模糊导致响应迟滞，并把托管能力纳入既有安全运营体系而非形成孤岛。

资料来源：

https://www.rockwellautomation.com/en-no/company/news/press-releases/Rockwell-Automation-Expands-SecureOT-Managed-Services-to-Support-Fortinet-Firewalls-and-Existing-Customer-Infrastructure.html

15. OPSWAT发布MetaDefender网闸固件4.3.0增强OT与IT数据共享

2026年10月6日，OPSWAT为MetaDefender NetWall Fend工业数据二极管发布固件更新，在硬件强制单向边界上扩展可安全传输的数据类型，面向水务、制造、能源等运营技术环境。新版新增三项能力：用户数据报协议组播支持，使单一数据源可同时抵达多个下游订阅方，适用于工业监测场景；二极管原生生成标准日志，为工件健康与活动监控提供手段而无需额外工具，契合企业安全团队既有遥测消费习惯；以及面向多种工业自动化协议的消息发布支持（经格式转换），可直接将建筑与工业自动化协议数据发布至消息代理供下游分析、看板或历史库使用。此次更新降低了数据二极管的集成负担，将其定位从单点硬件提升为平台级安全与治理方案，在扩展协议互通的同时不牺牲硬件强制单向性这一核心安全属性，使运营技术数据价值可被安全释放，兼顾隔离强度与业务可见性，回应采购方对可观测性的优先诉求，将标准日志与多协议转换内嵌于二极管固件可降低部署复杂度并提升被采纳率，使单向隔离从昂贵的点状方案走向可规模化的平台能力。

资料来源：

https://futurumgroup.com/insights/opswat-firmware-430-deepens-otit-data-sharing-for-industrial-diodes/

16. Cyber Scheme推出基于真实硬件的OT与PLC安全培训课程

2026年10月7日，Cyber Scheme宣布扩展其认证培训组合，新增运营技术安全测试基础（一天）与运营技术系统渗透测试实务（两天）两门课程，学员将在真实工业控制硬件（可编程逻辑控制器、人机界面与专用攻击工具）而非模拟器上实操，课程基于某专用平台与实训设备。内容涵盖工业控制系统与运营技术导论、资产发现、工业协议与设备漏洞、人机界面利用及可编程逻辑控制器攻击，并对接多项国际与地区安全规范与合规要求，将漏洞识别与基线评估转化为可证明的个人能力。此举反映运营技术安全技能从小众咨询走向主流人力规划。背景上行业估算全球网络安全人才缺口约四百八十万，近年报告指出多数组织存在能力短板而非单纯人手不足，实体硬件实训因能呈现确定性扫描与急停的真实后果而被视为降低评估风险的必要条件，推动认证体系与岗位能力对齐，并帮助学员在动手前评估扫描与漏洞利用的波及范围，避免在实际评估中误停机，从而降低未经训练人员给生产带来的操作风险，呼应监管对能力可证明的要求。

资料来源：

https://koeed.com/blogs/daily-plc-news/cyber-scheme-launches-ot-and-plc-security-training-courses

工业网络安全周报-2026年第37期

工业网络安全周报-2026年第36期

工业网络安全周报-2026年第35期

工业网络安全周报-2026年第34期

安帝科技丨ANDISEC

北京安帝科技有限公司是新兴的工业网络安全能力供应商，专注于网络化、数字化、智能化背景下的工业网络安全技术、产品、服务的创新研究和实践探索，基于网络空间行为学理论及工业网络系统安全工程方法，围绕工业网络控制系统构建预防、识别、检测、保护、响应、恢复等核心能力优势，为电力、水利、石油石化、轨道交通、烟草、钢铁冶金、智能制造、矿业等关键信息基础设施行业提供安全产品、服务和综合解决方案。坚持IT安全与OT安全融合发展，坚持产品体系的自主可控，全面赋能客户构建\"业务应用紧耦合、用户行为强相关、安全风险自适应、网络弹性稳增强\"的主动防御和纵深防御相结合的安全保障体系。公司主要产品已应用于数千家\"关基\"企业。

*点击\"在看\"鼓励一下吧*