工业物联网网关曝出两个安全漏洞：固件内置固定密钥，最高CVSS评分8.1

mumuyiki

2026年10月20日，美国网络安全和基础设施安全局（CISA）发布工业控制系统安全公告ICSA-26-293-03，披露Moxa AIG-302系列工业物联网网关存在两项安全漏洞，涉及API权限验证和固件加密密钥管理。
受影响的是运行ThingsPro Edge固件1.4.0及更早版本的设备，最高CVSS 3.1评分达到8.1，属于高危级别。
一、API权限验证存在缺陷
第一个漏洞编号为CVE-2026-109812，CVSS评分6.8。
问题出现在设备内部的/api/v1/secrets/接口。由于缺少必要的授权检查，拥有一定权限且能够访问相邻网络的攻击者，可能读取本不应该访问的敏感信息，其中包括加密密钥材料。
二、固件中存在硬编码密钥
第二个漏洞编号为CVE-2026-109813，CVSS评分8.1。
研究人员发现，设备的/usr/bin/sysman程序中存在硬编码加密密钥的问题。
攻击者如果能够接入相邻网络，即使没有通过身份认证，也可能利用暴露的私钥材料破坏通信的机密性和完整性。
这也说明，设备即使使用了加密通信，如果密钥管理存在问题，仍然可能面临安全风险。
三、官方已经提供修复
Moxa已经发布1.4.1版本固件修复上述问题。
用户可以登录设备Web管理界面，在Maintenance → Software Upgrades中检查更新，也可以下载固件包进行手动升级。
CISA同时建议工业设备尽量避免直接暴露在互联网中，并通过防火墙、网络隔离等措施限制访问范围。
需要说明的是，CISA表示目前尚未收到针对这两项漏洞的已知公开利用报告，公告也明确指出漏洞不能通过远程互联网直接利用。
四、对嵌入式开发有什么启示？
工业网关往往需要长期运行，固件更新频率也不一定很高。因此，安全设计不能只关注通信协议本身。
开发者还应该重视API权限检查、设备密钥的独立管理，以及固件升级机制。
尤其在批量生产设备时，应尽量避免不同设备共用固定的敏感密钥。
大家在开发联网设备时，会为每台设备生成独立密钥吗？还是直接使用固件中预置的统一密钥？

---

原始来源：CISA工业控制系统安全公告
公告编号：ICSA-26-293-03
发布日期：2026年10月20日
官方公告：
https://www.cisa.gov/news-events/ics-advisories/icsa-26-293-03
官方机器可读公告：
https://raw.githubusercontent.com/cisagov/CSAF/develop/csaf_files/OT/white/2026/icsa-26-293-03.json
说明：本文根据CISA官方公告整理，漏洞未经本人复现，修复效果未经本人实机验证。