2026-10-22 13:43:25 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

工业网络安全周报-2026年第39期

OT工控安全领导者
OT工控安全领导者

安帝Andisec

2026年10月17日 12:05
北京

去阅读

本文预计阅读时间27分钟

BREAKING NEWS

本期摘要

政策法规方面方面，英国扩大AI网络防御试点并筹备自主AI事件响应；美国国家安全局发布面向国防部OT系统的零信任防护指引。

漏洞预警方面方面，西门子发布17则ICS公告修复Simatic S7-1500等严重漏洞；施耐德电气发布2则公告修复Pro-face与Sage RTU高危漏洞；罗克韦尔1732E ArmorBlock曝严重未授权密码篡改致管理员接管；CISA与CERT@VDE发布多则ICS公告，ABB dynovaPRO现侦察迹象。

安全事件方面方面，法国多家超市联网冷藏系统遭网络攻击致食品损失与火灾；Hyflock勒索软件组织声称入侵印度IGPL石化巨头；Dragonforce勒索软件组织将美国Lane Equipment列入泄露站点；Play勒索软件组织将英国Saddlers Court MFG列入泄露站点；多起制造业与物流企业遭n0n等勒索组织攻击。

风险预警方面方面，ENISA等警示欧洲能源基础设施面临AI与联网设备风险；罗克韦尔警示生命科学制造商数字化转型中的网络安全与数据就绪缺口；OT-ISAC与新加坡SUTD整合研究与产业威胁情报。

安全技术方面方面，Palo Alto Networks推出新OT安全能力（引导式虚拟补丁等）；The Select Group推出TSG/ControlBurn数字孪生OT安全服务。

政策法规

1. 英国扩大AI网络防御试点并筹备自主AI事件响应

2026年10月12日，英国政府宣布一系列强化国家防御以抵御日益强大的生成式与自主人工智能系统风险的举措，包括扩大前沿人工智能在网络防御中的使用、研究通过《网络安全与韧性法案》强化对医院与公用事业等关键服务的法律保护，并筹备应对涉及自主智能体的重大事件。该计划建立在两项试点基础上，试点已在政府系统中识别并修复超过一千处潜在网络漏洞并发现潜在威胁，扩展后旨在降低公共服务短期风险并推动人工智能防御在公共部门更广泛采用。政府正与英国国家网络安全中心和人工智能安全研究所合作，研究制定自主智能体重大事件的应对方法，此类智能体可在极少人工监督下执行复杂任务，可能令事件以更快速度、更广范围扩散。官员还将考虑如何识别与上报人工智能相关险情与近似失误，并由人工智能安全研究所评估最新一代先进模型。网络事务大臣表示，政府正把网络安全与人工智能就绪置于英国数字未来的核心，并探讨强化法案框架以保护医院、公用事业等必要服务免受自主系统失控风险。

资料来源：

https://www.gov.uk/government/news/britain-steps-up-national-defences-against-growing-ai-risks

2. 美国国家安全局发布面向国防部OT系统的零信任防护指引

2026年10月12日，安全媒体在运营技术安全周报中解读美国国家安全局本月发布的零信任防护指引，建议运营技术运营方对用户、设备、工作流与通信持续验证，以限制未授权访问、横向移动与持久化。该指引主要面向美国国防环境，但国家安全局表示其中原则同样可支撑更广泛的关基安全。指引把第三方远程访问、历史数据库、工程工作站与远程服务系统列为须纳入运营技术风险与恢复规划的特权基础设施，要求对可通往生产环境的每一个防火墙、虚拟专用网、边缘网关、隧道代理与供应商托管连接逐一清点并评估失陷可能。研判认为，在人工智能降低攻击门槛、凭据窃取与端点失陷频发的背景下，运营技术环境中的零信任应以资产级访问控制为核心，而非仅停留在身份层面，并强调对供应商访问实施资产级权限、具名归属、多因素认证、时限审批与即时撤销。当某条通道或身份服务必须停用之时，运营方仍须确认关键生产与已批准的支持活动能够持续，避免为封堵风险而引发更大范围的业务中断。

资料来源：

https://secomea.com/blog/ot-security-trends/ot-security-weekly-009-vpn-gateway-compromise-energy-monitoring-flaws-and-ot-access-control

漏洞预警

3. 西门子发布17则ICS公告修复Simatic S7-1500等严重漏洞

2026年10月14日，西门子于工业控制系统补丁日发布十七则新安全公告，覆盖从严重到中等的众多产品缺陷，并为部分漏洞提供补丁、为其余漏洞提供缓解措施直至永久修复可用。严重漏洞涉及部分Simatic S7-1500系列可编程逻辑控制器、Industrial Edge工业边缘设备与Ruggedcom Crossbow站控访问控制器，其中Simatic控制器受影响的高达四百多个缺陷位于GNU/Linux子系统。高危缺陷覆盖Ruggedcom Crossbow、Simatic IPC、PSS SINCAL、面向Simatic S7 Web服务器接口的 .NET客户端库、Industrial Edge应用发布器、Apogee、Desigo、Talon、Ruggedcom APE1808与Simatic WinCC等产品。中危缺陷则修补于Sentron 3NA COM熔断器与Capital Embedded AR Classic。西门子还提示影响Simatic S7系列可编程逻辑控制器及相关产品的文档歧义问题。由于受影响产品横跨控制器、边缘、网络与人机界面多个层面，运营方应参照对应公告评估风险并尽快部署补丁或缓解，建立集中补丁与缓解台账，将本次十七则公告按资产关键性排序处置，并复核公网暴露面的工业边缘与网络管理设备，防止严重漏洞被快速武器化；此外应同步开展受影响固件版本的批量定位，在离线备份保护下分阶段灰度更新，并在变更后复测关键控制回路，避免以可用性优先为由将高危项长期搁置。

资料来源：

https://securityweek.com/ics-patch-tuesday-siemens-issues-17-advisories-rockwell-fixes-armorblock-takeover-flaw

4. 施耐德电气发布2则公告修复Pro-face与Sage RTU高危漏洞

2026年10月14日，施耐德电气于工业控制系统补丁日发布两则新安全公告，各涵盖一项高危漏洞。第一则影响Pro-face STW6000与Harmony STW6人机界面产品，攻击者可通过诱使目标用户访问恶意网页来控制设备，进而取得设备控制权。第二则影响Sage远程终端单元，特权用户可利用该缺陷在设备上安装恶意固件，可能导致运行逻辑被篡改或设备被用于横向移动。两则公告均给出受影响版本、漏洞类型、技术细节与缓解措施。由于上述产品广泛用于工业人机交互与远程站点控制，且人机界面往往直接面向操作工位、远程终端单元多部署于无人值守的远方场站，其失陷可能成为进入更深控制层的跳板。运营方应重点核查设备固件版本、收敛互联网暴露、对管理接口实施强身份认证与网络隔离，并参照厂商指引在严格变更控制下部署补丁或缓解，对老旧型号应评估补偿性控制，防止遗留漏洞成为持久暴露点；并应在严格变更控制下完成补丁或缓解，建立配置基线与定期复核，避免人机界面与远程终端单元因长期暴露而成为进入控制层的跳板。

资料来源：

https://securityweek.com/ics-patch-tuesday-siemens-issues-17-advisories-rockwell-fixes-armorblock-takeover-flaw

5. 罗克韦尔1732E ArmorBlock曝严重未授权密码篡改致管理员接管

2026年10月14日，罗克韦尔自动化于工业控制系统补丁日发布一则新公告，披露其一千七百三十二系列ArmorBlock模块化工业设备存在两项漏洞，其中一项被评为严重级，允许未授权攻击者更改设备Web服务器密码，进而实现对管理员账户的接管，另一项为拒绝服务缺陷。该设备常用于分布式制造与机器控制场景，作为靠近执行机构的紧凑型模块直接作用于生产，若被利用可使攻击者取得模块级控制权并中断生产。罗克韦尔已提供修复与缓解建议，建议用户尽快应用固件更新，对设备Web管理接口实施网络隔离与强身份认证，并借助协议深度包检测与资产清单发现未授权配置变更。运营方还应建立离线备份与有序恢复流程以降低可用性风险，提醒制造企业在补丁窗口与产线检修计划对齐以降低停机影响，并应将该模块与相邻控制器、操作员终端一并纳入资产清点与暴露面收敛，防止局部失陷沿产线扩散，并在部署前于测试环境验证新固件与既有控制逻辑的兼容性，防止修补行动本身引发非计划停机。

资料来源：

https://securityweek.com/ics-patch-tuesday-siemens-issues-17-advisories-rockwell-fixes-armorblock-takeover-flaw

6. CISA与CERT@VDE发布多则ICS公告，ABB dynovaPRO现侦察迹象

2026年10月14日，美国网络与基础设施安全局发布两则新工业控制系统公告，其一涉及Swann SWIFI-SE2KIC摄像头漏洞可能暴露视频信息，其二涉及Inductive Automation Ignition产品的权限提升问题；德国CERT@VDE发布一则公告提示影响Bender客户与合作伙伴平台的信息泄露漏洞。同期，ABB披露dynovaPRO漏洞，该缺陷可通过凭据重置流程绕过实现账户接管（编号CVE-2026-18963），ABB表示尚不知悉野外利用，但内部日志分析发现影响九家客户的二十六次密码变更事件，可能表明测试或侦察活动。多家机构建议运营方参照对应公告落实目标式入侵检测与缓解、及时应用厂商补丁，并优先收敛暴露在公网的摄像头、工业软件与平台资产的攻击面。鉴于ABB已观察到针对该缺陷的侦察迹象，运营方应把凭据异常与异常密码变更纳入持续监测，强制重置可疑会话与凭据，防止侦察演变为实际入侵。对于Bender平台类信息泄露缺陷，运营方应核查对外暴露的管理接口并收紧访问策略；整体而言，本批公告再次提示运营技术环境须以资产清单、暴露面收敛与凭据异常监测三项基础控制构成日常防线，并在补丁就绪前以网络隔离与访问控制降低被利用可能性。

资料来源：

https://securityweek.com/ics-patch-tuesday-siemens-issues-17-advisories-rockwell-fixes-armorblock-takeover-flaw

安全事件

7. 法国多家超市联网冷藏系统遭网络攻击致食品损失与火灾

2026年10月13日，法国多家连锁超市的联网冷藏与冷冻系统遭大规模网络攻击，攻击者远程将数以百计门店的制冷设备温度推高至约五十摄氏度并持续约六小时，导致生鲜与冷冻食品大量报废、部分门店冒烟起火，Intermarché 与Netto母公司称约一百五十家门店受影响、单日损失达数千万欧元，Carrefour报告八十家超市受损，Coopérative U、Monoprix、E.Leclerc等亦遭波及。法国国家网络安全局正在调查，总理责成其评估威胁是否超出法国，荷兰Albert Heijn等亦因网络安全事件下线部分系统。调查指向丹麦Danfoss提供的制冷管理软件存在漏洞，受影响机组运行过时固件，此前研究人员已披露其控制器可绕过登录并执行代码。欧洲委员称食品武器化已成为现实，事件凸显联网运营技术设备一旦暴露且缺乏补丁与远程访问治理，即可把网络入侵直接转化为食品安全、财产与民生供应风险。建议零售商将制冷控制器与远程管理通道纳入运营技术资产台账，强制固件更新与更改默认凭据，并对第三方维护连接实施准时制审批与审计。

资料来源：

https://www.cnbc.com/2026/10/13/france-supermarket-hack-cyberattack-fridges-fires.html

8. Hyflock勒索软件组织声称入侵印度IGPL石化巨头

2026年10月13日，Hyflock勒索软件组织在其暗网泄露站点将IGPL（IG Petrochemicals Limited）列为最新受害者，发动针对重化与化工制造行业的高危双重勒索行动。IGPL总部位于孟买，在Taloja化工产业走廊设有大型生产设施，是印度最大的邻苯二甲酸酐单站点生产商，其化工中间体是汽车部件、建材、涂料、树脂与增塑剂全球供应链的关键组成。Hyflock采用双重勒索手法，威胁公开专有制造图纸、客户台账与财务记录以逼迫快速付款。该组织称尚未公开确认IGPL内部数据外泄或运营停摆的具体范围，相关结论基于泄露站点索引、尚未独立验证。事件凸显化工与制造企业因停机成本高昂而成为勒索重点目标，防御方应部署工业级防火墙与虚拟局域网隔离企业邮件与会计网络同工厂监控数据采集系统，建立不可变、气隙隔离的离线备份，并对第三方工程承包商远程通道强制网络钓鱼抗性多因素认证，建议化工企业把防腐剂控系统与生产网一并纳入隔离与监测，定期演练在泄露与加密并发时的有序停机与恢复，保障供应链连续。

资料来源：

https://www.brinztech.com/breach-alerts/brinztech-alert-hyflock-ransomware-syndicate-targets-indian-petrochemical-giant-igpl-in-critical-industrial-extortion-campaign

9. Dragonforce勒索软件组织将美国Lane Equipment列入泄露站点

2026年10月14日，Dragonforce勒索软件组织将美国制造企业Lane Equipment列入其暗网泄露站点，相关信息基于该组织自身声明、尚未独立验证。Lane Equipment总部位于美国、经营制造业务，Dragonforce是全球最活跃的勒索组织之一，数据库记录其已宣称超过六百五十名受害者，通常采用双重勒索模式，即先外泄敏感数据再加密文件，使受害方面临恢复访问与防止数据公开的双重压力。制造业因生产停机直接转化为财务损失而备受青睐，美国更是全球勒索披露最频繁地区。该受害者记录源自公开追踪平台对勒索运营方泄露站点声明的开源情报汇聚，列入泄露站点并不等同于已确认入侵，相关细节仍待独立验证。防御建议包括维护经测试的离线备份、以网络隔离限制横向移动、对远程访问全面实施多因素认证、部署端点检测与响应，并订阅威胁情报监测活跃组织的失陷指标，建议将勒索风险纳入运营技术专项预案，明确隔离、取证与有序恢复步骤，并把第三方远程通道纳入持续监测，并验证备份可恢复性以防备份被一并加密或删除。

资料来源：

https://cyberthreatintelligence.net/ransomware-victim/lane-equipment-dragonforce-2026

10. Play勒索软件组织将英国Saddlers Court MFG列入泄露站点

2026年10月13日，Play勒索软件组织将英国制造企业Saddlers Court MFG列入其暗网泄露站点，相关信息基于该组织自身声明、尚未独立验证。Saddlers Court MFG总部位于英国、经营制造业务，Play是全球最活跃的勒索组织之一，数据库记录其已宣称近九百九十名受害者，通常采用双重勒索模式，即先外泄敏感数据再加密文件，使受害方面临恢复访问与防止数据公开的双重压力。制造业因生产停机直接转化为财务损失而备受青睐，英国为全球勒索披露第四频繁地区。该受害者记录源自公开追踪平台对泄露站点声明的开源情报汇聚，列入泄露站点并不等同于已确认入侵。针对该组织的防护建议包括维护经测试的离线备份、以网络隔离限制横向移动、对远程访问全面实施多因素认证、部署端点检测与响应，并定期开展钓鱼与安全意识培训，订阅威胁情报监测活跃组织的失陷指标，制造企业尤其应缩短从披露到处置的响应窗口，并定期检验关键产线的手动运行能力与恢复链路完整性，避免单一备份点失效。

资料来源：

https://cyberthreatintelligence.net/ransomware-victim/saddlers-court-mfg-play-2026

11. 多起制造业与物流企业遭n0n等勒索组织攻击

2026年10月13日，多家威胁情报来源报告一波跨行业数据泄露，多个勒索组织同时活跃并宣称攻击技术、制造、物流、法律与教育领域企业。其中n0n组织尤为活跃，宣称攻击Apical Group（新加坡植物油加工商）、April Group（印度尼西亚纸浆与造纸制造商）、Bukit Kayu Hitam ICD（马来西亚物流）与Camellia Line（日本海运运输）；另有OROVA攻击Amantya Technologies，MAJINAHANASHI瞄准意大利制造企业Albertin Alcide & Figli与CFG Serramenti，DragonForce攻击加拿大高校，INC\_RANSOM攻击美国律所。该波活动呈现分散且全球化的犯罪生态，制造、物流与农企因对运营中断敏感而成为重点目标，且多家受害企业地处亚太供应链关键节点。相关机构提示，制造与物流企业应在企业信息网与运营技术生产网之间落实严格隔离，对供应链协同平台与物流管理系统单独加固，并将上述活跃组织的历史失陷指标导入检测规则，以便在入侵早期即被发现与阻断，降低对连续生产与跨境物流的连锁影响。对于地处亚太节点的受害企业，其下游客户还应审视自身是否经由共用物流或供应链平台被间接波及，并主动与合作伙伴核对账户与凭据安全，防止单次披露演变为跨企业的连锁失陷。

资料来源：

https://cyber.netsecops.io/articles/multiple-data-breaches-reported-across-various-industries-on-october-13

风险预警

12. ENISA等警示欧洲能源基础设施面临AI与联网设备风险

2026年10月12日，在布鲁塞尔第九届网络安全论坛期间，欧洲网络安全局、欧洲配电系统运营商协会、欧洲基础设施与网络攻击共享中心与欧洲网络攻击共享组织联合警示，地缘政治攻击、人工智能与联网能源技术快速增长正给欧洲能源基础设施带来监管难以单独化解的风险。论坛援引欧洲网络安全局《2026威胁态势》对二零二五年影响欧盟成员国的八千二百五十七起网络事件的分析，指出地缘政治持续塑造恶意网络活动，攻击者日益将人工智能纳入行动、运营技术相关入侵声称增加。论坛听取了二零二五年十二月波兰能源行业协同网络攻击的现场教训，并演示攻击者如何借由已入侵的家庭路由器或摄像头，利用未经认证的控制协议与户用光伏逆变器或户用电池通信。专家呼吁从保护单点系统转向优化整体生态韧性，落实独立安全测试、漏洞管理、信息共享与实战演练，把有限专家资源聚焦于影响最大的风险，并在人工智能降低攻击门槛的背景下优先补强跨运营方的信息共享机制。

资料来源：

https://industrialcyber.co/critical-infrastructure/enisa-e-dso-ee-isac-encs-flag-growing-cyber-risks-to-europes-energy-infrastructure-from-ai-connected-devices/

13. 罗克韦尔警示生命科学制造商数字化转型中的网络安全与数据就绪缺口

2026年10月1日，罗克韦尔自动化发布生命科学制造业报告，警示该行业数字化与自动化转型快于网络安全与数据治理控制建设，导致就绪缺口。报告显示90%的生命科学制造商认为数字化转型必要，58%已规模部署智能制造技术；人工智能与机器学习、流程自动化与网络安全被列为最具业务产出的技术，46%的受访者将人工智能列为首要。然而网络安全已成全生命周期要求：54%的受访组织过去一年至少经历一次网络攻击，最大暴露来自IT系统与企业网络（41%）、远程访问与联网设备（33%）及IT/OT融合点（29%）。报告提出七项连续就绪行动，涵盖数字证据管理、网络韧性、工业数据运营、明确人工智能用例与治理等。罗克韦尔建议把网络安全与数据治理作为数字化转型的设计约束而非事后补丁，并强调运营技术资产盘点与变更控制是落地前述行动的前提，报告同时提醒临时抱佛脚式的合规准备已不足以应对高频检查与突发审查，连续就绪应成为日常运行纪律而非仅在检查或攻击来临前临时补救。

资料来源：

https://industrialcyber.co/pharma/rockwell-warns-life-sciences-manufacturers-of-cyber-and-data-readiness-gaps-amid-digital-transformation

14. OT-ISAC与新加坡SUTD整合研究与产业威胁情报

2026年10月9日，运营技术信息共享与分析中心与新加坡科技设计大学签署谅解备忘录，围绕网络安全研究、威胁情报与网络演练开展合作，旨在提升新加坡及更广泛亚太地区关键基础设施抵御网络攻击的韧性。新加坡科技设计大学iTrust网络安全研究中心提供研究与可控运营技术试验床能力，可在不危及实时关键基础设施的前提下复现真实攻击场景，研究其演变过程、系统影响与防御方法；运营技术信息共享与分析中心则带来产业经验与可信任的匿名威胁情报共享网络，使研究与演练紧扣运营方真实挑战。根据备忘录，双方将开展运营技术网络威胁情报共享、网络演练与专业培训，iTrust贡献其研究、试验床与培训专长，运营技术信息共享与分析中心提供运营视角并协同举办研讨、简报与社区活动。合作强调以实用技术与社区参与提升关键基础设施网络安全就绪水平，此类产学研协同被视为补足运营技术安全人才与实战能力短板的有效路径，亦为亚太地区填补运营技术安全人才缺口提供了可复制的框架。

资料来源：

https://industrialcyber.co/news/ot-isac-sutd-combine-research-and-industry-threat-intelligence-to-strengthen-ot-cybersecurity-preparedness/

安全技术

15. Palo Alto Networks推出新OT安全能力（引导式虚拟补丁等）

2026年10月14日，Palo Alto Networks在ICS网络安全大会期间推出其OT安全解决方案的多项新能力，由Precision AI驱动，面向工业运营技术环境日益增长的网络威胁。新能力包括业界唯一完全集成的、基于风险的引导式虚拟补丁，可在不中断运营的前提下快速缓解难以修补的遗留运营技术资产关键漏洞，自动完成资产清点、风险评估与漏洞排序；通过Prisma Access Browser交付的特权远程访问，为运维团队及承包商提供即时、可会话录制的远程接入，支持准时制访问；以及面向严苛工业环境的加固型、机器学习驱动下一代防火墙，支持导轨安装、5G连接与失效开路。厂商援引其报告显示70%的工业组织过去一年遭遇运营技术环境网络攻击，近25%因此发生运营中断；新方案强调以人工智能实现实时可见性、端到端防护与简化管理，对于难以立即修补的遗留控制器与远程站点设备，引导式虚拟补丁可在维护窗口之外提供临时防护层，降低因等待停机窗口而长期暴露的隐患，并帮助安全团队把有限人力优先投向真正可达且影响重大的攻击路径，而非平均用力于全部漏洞告警。

资料来源：

https://cxotoday.com/press-release/new-ot-security-solutions-from-palo-alto-networks-address-growing-cybersecurity-threats-to-industrial-operations/

16. The Select Group推出TSG/ControlBurn数字孪生OT安全服务

2026年10月8日，北美技术与咨询服务公司The Select Group联合技术伙伴Frenos推出TSG/ControlBurn，一项由数字孪生驱动的运营技术安全服务，可在不接触生产系统的情况下，在环境发生变化时持续测试运营技术安全性并识别、关闭攻击路径。多数工业组织仍以年度为周期开展运营技术渗透测试，往往在单站点进行、需数周安排，报告交付即开始过时，而人工智能正进一步缩短攻击路径规划时间，使过去需专家多跳关联的攻击如今能力较弱的行为者亦可尝试。TSG/ControlBurn从客户既有防火墙与路由器配置、路由表、资产清单与漏洞导出构建运营技术环境数字孪生，在Frenos平台上运行对手模拟，无需代理、扫描或生产访问，每次模拟均在孪生体内进行。该服务可展示抵达关键资产的攻击路径、验证网络分段是否生效、按可达性削减漏洞backlog、评估爆炸半径，并给出依赖排序的修复路线图，把安全验证从一次性项目转变为随变更持续运行的常态能力，契合人工智能时代攻击路径快速演化的现实，帮助资源受限的运营方以更低代价维持对关键资产的保护。

资料来源：

https://www.selectgroup.com/blog/the-select-group-launches-tsg/controlburn?hsLang=en

安帝科技丨ANDISEC

北京安帝科技有限公司是新兴的工业网络安全能力供应商，专注于网络化、数字化、智能化背景下的工业网络安全技术、产品、服务的创新研究和实践探索，基于网络空间行为学理论及工业网络系统安全工程方法，围绕工业网络控制系统构建预防、识别、检测、保护、响应、恢复等核心能力优势，为电力、水利、石油石化、轨道交通、烟草、钢铁冶金、智能制造、矿业等关键信息基础设施行业提供安全产品、服务和综合解决方案。坚持IT安全与OT安全融合发展，坚持产品体系的自主可控，全面赋能客户构建\"业务应用紧耦合、用户行为强相关、安全风险自适应、网络弹性稳增强\"的主动防御和纵深防御相结合的安全保障体系。公司主要产品已应用于数千家\"关基\"企业。