先說結論：Rockwell Automation 的 ControlFLASH 15.07 與更早版本受到 CVE-2026-12663 影響，原廠列出的修補版本是 15.08。ControlFLASH 是協助維護人員下載和更新工業自動化設備韌體的軟體；韌體是設備內部控制基本運作的程式。這個弱點與安裝後目錄權限過寬有關，可能讓已在電腦上具備本機權限的行為者影響程式，並以當時登入使用者的權限執行程式。它不是公告所描述的無須接觸電腦、從外網直接攻擊控制器的情境。使用單位應盤點安裝版本與維護電腦，優先更新至 15.08 或原廠後續適用的修正版，再確認目錄權限與必要工作流程。本文於 2026 年 10 月 4 日重新取得原廠與 CISA 官方資料，沒有把漏洞能力寫成已發生的事故。
背景與前因：Rockwell Automation 於 2026 年 9 月 1 日發布 SD1793，說明這項弱點在例行內部測試中被發現。美國網路安全暨基礎設施安全局 CISA 於 9 月 3 日發布 ICSA-26-246-03 工控公告，列出同一 CVE 的產品範圍與防禦建議。前者提供原廠修補表與安裝目錄資訊，後者從關鍵基礎設施維護角度提醒先做風險與營運影響評估。這是兩份公告的原始日期，並非本篇補刊的發表日期。ControlFLASH 的用途是管理設備韌體，因此它通常出現在工程或維護工作站；工作站若同時能連接重要控制設備，就更需要清楚界定誰能登入、安裝和執行維護軟體。
原因與前置條件：原廠與 CISA 都指出，問題在於 ControlFLASH 安裝程式對某個產品安裝目錄給予 Everyone 群組寫入權限。Everyone 是作業系統用來表示廣泛使用者範圍的權限群組，不能把它誤認為只包含受信任的管理員。若程式相關檔案可以被不適當地改動，後續在登入使用者權限下執行的工作流程便可能受到影響。CISA 的評分向量列有本機存取、低權限前提及使用者互動條件；原廠說明的最終權限也限於目標電腦當時登入使用者的權限。這些限制不會讓問題變得可以忽略，卻能避免把它錯寫成無條件取得系統最高權限或經網際網路直接入侵所有工廠設備。
影響範圍：兩份公告均將受影響產品界定為 Rockwell Automation ControlFLASH 15.07 及更早版本，修補版本為 15.08。這裡的版本是安裝在維護電腦上的 ControlFLASH 軟體版本，不是控制器的韌體版本，也不是整個 Rockwell 產品家族的共通版號。維運人員應在實際使用的工程工作站確認軟體名稱和版本，不要只根據採購清單推論軟體仍在使用。若某台電腦從未安裝 ControlFLASH，這兩份公告不足以證明它受到同一漏洞影響；若電腦安裝其他 Rockwell 工具，也應查該工具自己的公告，而不是套用本篇的修補版本。
原廠給 CVE-2026-12663 的 CVSS v3.1 基礎分數是 7.3，CISA 的公告亦標示相同分數。CVSS 是用來比較漏洞技術嚴重度的評分方法，不能當成某一台維護電腦已遭利用的診斷結果。Rockwell 公告的 Known Exploited Vulnerability 欄位標示 No；這是原廠公告上的分類資訊，不能延伸成未來不會出現利用，也不能取代本地紀錄調查。管理者應同時看版本、電腦登入權限、該工作站可連接的設備及更新窗口，再決定優先順序。尤其共享維護電腦若有多人登入，目錄權限與使用者角色的組合，可能比單一分數更能反映本地風險。
你可以怎麼做：先建立維護工作站清單，記錄哪些機器安裝 ControlFLASH、目前版本、使用者角色、平時是否連接控制網路，以及誰負責安排軟體更新。把 15.07 及更早版本列為需處理項目，依原廠 SD1793 取得並部署 15.08 或後續適用修正版。15.08 是 9 月公告列出的此漏洞修補基準，不能永遠視為最新版本；跨日補刊或安排維護時，仍應查看原廠是否再更新下載與相容資訊。對於停用很久的工程電腦，也要確認軟體實際安裝情況，不因它未出現在日常管理報表就排除。
更新安排應兼顧可用性。ControlFLASH 涉及韌體維護，更新前先確認既有設備與工程流程的相容性，選擇不影響正在進行作業的窗口，並依組織程序保存軟體設定和可回復資訊。CISA 特別提醒部署防護措施前應評估影響，對工控現場尤其重要。完成安裝後，請在每台目標工作站核對實際 ControlFLASH 版本，檢查應受限制的目錄權限，再以核准的測試環境確認必要的維護功能可用。這些核對步驟有助於區分『已派送更新』與『更新已在工作站上完成且可正常使用』。
原廠也列出無法立即升級時的暫時性權限處理方向：限制舊版安裝目錄中 Everyone 群組的不當寫入權限。具體變更應由具權限的管理員依原廠公告與組織變更流程執行，先評估對既有軟體的影響；本文不提供可直接套用於所有電腦的命令。權限調整屬於緩解措施，並非等同於安裝 15.08 修補版。若現場無法立即更新，也無法安全完成權限調整，應記錄例外、負責人與預計修正時間，並限制不必要的工作站登入和軟體使用，同時安排後續正式修補。
另一個常被忽略的問題是維護電腦的身分與權限。公告所述後果以登入使用者權限為界，因此工程師長期使用高權限帳號、多人共用同一帳號或維護電腦同時處理非必要工作，都可能放大本地影響。這是依漏洞條件提出的防禦性管理推論，不是原廠宣稱已發現某個組織發生特定入侵。減少日常帳號的過度權限、讓工程工作與一般瀏覽或收信用途適度分開、保留變更紀錄，可以讓軟體修補之外的環境風險更容易管理。若已有異常跡象，應依事件應變程序保存紀錄並交由專責人員調查，不能只因安裝舊版就直接判定已受害。
目前仍有必須在現場確認的資訊：每個站點到底有多少 ControlFLASH 安裝、哪些版本仍被使用、誰可以在維護工作站登入，以及權限調整會不會影響既有設備作業。原廠與 CISA 的公開頁面不會替個別組織完成這些盤點，也沒有列出本篇可套用的受害者名單。對於沒有立即更新的例外，應留下版本、風險評估、暫時措施、預計修補日與驗證者，讓後續人員能追蹤進展。若原廠之後修訂公告，應重新比對受影響版本與補救方式，避免使用過期資訊做變更決策。
這篇補刊依據的是 Rockwell Automation 於 2026 年 9 月 1 日的 SD1793，以及 CISA 於 9 月 3 日的 ICSA-26-246-03；兩個官方來源在 10 月 4 日重新查核。已確認的重點是 ControlFLASH 舊版安裝目錄權限過寬、15.08 提供修正，以及無法立即升級時可評估原廠所述的權限緩解。尚未由來源確認的是任一讀者的電腦已被利用，或其他未列名產品也有相同問題。先把資產和版本盤清楚，再依維護窗口更新並驗證，才是這份公告能直接支持的處置順序。
官方來源：
- SD1793 | ControlFLASH — Improper Access Control（Rockwell Automation）
- Rockwell Automation ControlFLASH — ICSA-26-246-03（CISA）
這篇觀察對你有幫助嗎？
支持 Darknoted 持續維護隔離研究環境、資料查核與內容更新。
了解如何支持本站更新紀錄
：完成公開內容與 metadata 更新。