展开抓取的正文（本地存档，已排版）
摘要
本通告已撤销。重新调查确认，报告的行为属于预期的平台配置，并未暴露受保护属性。
以下版本的西门子 Mendix Runtime 受到影响：
- Siemens Mendix Runtime vers:all/* (CVE-2026-7891)
CVSS
厂商
设备
漏洞
v3 9.1
Siemens
Siemens Mendix Runtime
不安全的继承权限
背景
- 关键基础设施部门： 关键制造业
- 部署国家/地区： 全球
- 公司总部所在地： 德国
漏洞
CVE-2026-7891
此 CVE 已被撤回。重新调查确认，报告的行为属于预期的平台配置，并未暴露受保护的应用程序特定属性。
受影响产品
Siemens Mendix Runtime (更新 A)
厂商：
Siemens
产品版本：
Siemens Siemens Mendix Runtime: vers:all/*
产品状态：
not_affected
相关 CWE： CWE-277 不安全的继承权限
指标
CVSS 版本
基础分数
基础严重性
向量字符串
3.1
9.1
严重
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
4.0
9.1
严重
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
致谢
- Siemens ProductCERT 向 CISA 报告了此漏洞。
法律声明和使用条款
本产品受本通知 (https://www.cisa.gov/notification) 和隐私及使用政策 (https://www.cisa.gov/privacy-policy) 约束。
建议做法
CISA 建议用户采取防御措施，以最大限度地降低利用此漏洞的风险。
- 最小化所有控制系统设备和/或系统的网络暴露面，确保它们无法从互联网访问。
- 将控制系统网络和远程设备置于防火墙之后，并将其与业务网络隔离。
- 当需要远程访问时，使用更安全的方法，例如虚拟专用网络 (VPN)。请注意 VPN 可能存在漏洞，应更新至最新版本，且其安全性仅取决于所连接的设备。
CISA 提醒组织在部署防御措施之前进行适当的冲击分析和风险评估。
CISA 还在 cisa.gov 的 ICS 网页上提供了关于控制系统安全建议做法的部分内容。提供了几种 CISA 产品供阅读和下载，其中包括《利用纵深防御策略提高工业控制系统网络安全》。
CISA 鼓励组织实施推荐的网络安全策略，以主动防御 ICS 资产。
额外的缓解指南和建议做法可在 cisa.gov 的 ICS 网页上的技术信息论文《ICS-TIP-12-146-01B--针对性网络入侵检测与缓解策略》中公开获取。
组织若观察到疑似恶意活动，应遵循既定的内部程序，并将发现报告给 CISA 以进行跟踪和与其他事件关联。
CISA 还建议用户采取以下措施保护自己免受社会工程学攻击：
- 不要点击非请求电子邮件消息中的网页链接或打开附件。
- 参考《识别和避免电子邮件诈骗》获取有关避免电子邮件诈骗的更多信息。
- 参考《避免社会工程学和网络钓鱼攻击》获取有关社会工程学攻击的更多信息。
目前尚未向 CISA 报告任何专门针对此漏洞的已知公开利用情况。
修订历史
- 初始发布日期： 2026-07-14
日期
修订版
摘要
2026-07-14
1
首次发布
2026-07-28
2
首次重新发布 Siemens ProductCERT SSA-814963
2026-09-22
3
因 CVE 被拒绝而撤销通告
2026-09-24
4
更新 A - 在 Siemens 撤销 SSA-814963 并拒绝 CVE-2026-7891 后撤销通告