工业控制系统（ICS）与运营技术（OT）领域迎来新一波补丁更新。西门子（Siemens）、施耐德电气（Schneider Electric）、Aveva、菲尼克斯电气（Phoenix Contact）与摩莎科技（Moxa）陆续发布安全公告，部分漏洞达到重大风险等级，可能影响工业防火墙、PLC与数据管理平台运行。企业应尽快盘点受影响设备并规划更新时间表。

西门子修补多项重大漏洞，波及PLC与工业防火墙

西门子在2月安全公告中修补多项重大与高风险漏洞，影响范围涵盖工程数据管理平台、工业防火墙设备，以及可编程控制器（PLC）等核心工业系统。

其中，工程数据管理与设计整合平台COMOS存在多项弱点，可能导致跨站脚本攻击，进而造成信息泄露或用户权限滥用。

在工业网络设备方面，RUGGEDCOM APE1808所集成的FortiGate NGFW受到FortiOS组件漏洞影响，CVSS风险评分达9.8分，属重大风险等级，可能导致权限提升或未经授权访问。同时，该设备亦涉及Palo Alto Networks PAN-OS相关漏洞，CVSS风险评分为8.7分，可能引发拒绝服务或命令注入问题。

西门子也提醒，Siport桌面客户端因采用较旧的开发架构，未启用地址空间布局随机化（ASLR）与数据执行保护（DEP）等现代化防护机制。若攻击者已取得本地系统访问权限，相关防护不足可能提高攻击成功的概率。

施耐德电气修补SCADAPack重大漏洞，风险评分逼近满分

施耐德电气在2月安全公告中披露，SCADAPack x70系列远程终端单元（RTU）存在漏洞CVE-2026-0667，CVSS风险评分高达9.8分，属重大风险等级，受影响型号包括SCADAPack 47x与57x系列。该问题源于异常情况处理机制不足，攻击者若通过Modbus TCP接口发送特制数据包，可能使设备执行任意代码，甚至造成拒绝服务。

此外，建筑管理系统软件EcoStruxure Building Operation也修补了两项漏洞CVE-2026-1227与CVE-2026-1226，CVSS风险评分均为7.3分，属高风险等级。若用户打开特制TGML图形文件，可能导致本地文件被读取，或执行未经信任的代码。

Aveva修补工业数据平台高风险漏洞

工业软件厂商Aveva在2月安全公告中指出，其工业数据归档与实时数据管理平台PI Data Archive存在拒绝服务漏洞CVE-2026-1507，CVSS风险评分为8.7分，属高风险等级。若漏洞被利用，可能造成系统服务中断，影响数据采集与实时监控运行。

另外，负责数据转发与代理通信的PI to CONNECT Agent也修补了CVE-2026-1495。该漏洞可能导致敏感信息被写入日志文件，进而增加代理服务器遭未经授权访问的风险。

菲尼克斯电气提醒留意既有OpenSSL漏洞

工控系统厂商菲尼克斯电气（Phoenix Contact）在2月安全公告中再次提醒用户，注意2024年已披露的OpenSSL漏洞CVE-2024-2511。该漏洞与TLSv1.3实现中的session cache机制有关，在特定配置下，攻击者若大量建立TLS连接，可能耗尽设备内存，导致设备重启。受影响产品为FL MGUARD 2xxx与4xxx系列固件10.5.0版本。此漏洞CVSS v3.1风险评分为5.9分，属中度风险。原厂已在后续版本中提供补丁，并呼吁尚未升级的用户尽快更新。

摩莎科技修补工业电脑与交换机漏洞

工业通信设备厂商摩莎科技（Moxa）在2月安全公告中披露，部分工业电脑存在需物理访问才能利用的漏洞CVE-2026-0714与CVE-2026-0715，两者CVSS风险评分均为7.0分，属高风险等级。

另外，Moxa也修补了以太网交换机漏洞CVE-2024-12297，CVSS风险评分为9.2分，属重大风险等级。该漏洞属于前端授权逻辑暴露问题，可能导致身份验证或授权机制被绕过，进而使攻击者获得未经授权的功能访问权限。

除了上述厂商外，美国网络安全与基础设施安全局（CISA）也在2月发布ICS安全公告，转达横河电机（Yokogawa）FAST/TOOLS系统、卓蓝（ZLAN Information Technology）ZLAN5143D串口服务器，以及医疗软件ZOLL ePCR移动应用的漏洞修补信息。

由于工控与OT系统更新周期普遍较长，一旦漏洞被利用，影响可能蔓延至生产线与关键基础设施。各厂商均建议用户尽快完成更新；若短期内无法升级，则应通过网络隔离、强化物理访问控制与监控异常行为等方式，降低潜在风险。