CVE-2026-12818: PLCs Delta Electronics DVP12SE: alocação de recursos sem limites no serviço Modbus TCP (CWE-770)
Os PLCs Delta Electronics DVP12SE são suscetíveis ao CWE-770, alocação de recursos sem limites ou controle de taxa, em seu serviço Modbus TCP. O registro traz pontuação CVSS 4.0 base 9.3 (crítica) fornecida pelo CNA, com vetor de ataque pela rede e sem necessidade de privilégios ou interação do usuário. A vulnerabilidade não consta no catálogo KEV da CISA, nenhuma exploração confirmada aparece nas fontes consultadas, e o registro não lista versões afetadas nem correções.
Visão geral
Os PLCs Delta Electronics DVP12SE são suscetíveis a uma fraqueza de alocação de recursos sem limites ou controle de taxa (CWE-770) em seu serviço Modbus TCP. O registro aponta para um aviso do próprio fabricante, Delta Electronics (PCSA-2026-00011), que trata deste problema e de uma segunda CVE no mesmo aviso. Detalhes além da descrição do registro não estão disponíveis nas fontes consultadas.
Impacto
O vetor CVSS 4.0 do registro indica alto impacto na confidencialidade, integridade e disponibilidade do sistema vulnerável (VC:H, VI:H, VA:H), sem impacto em sistemas subsequentes. Como o CWE-770 trata de recursos não limitados, a consequência prática mais provável é a degradação da disponibilidade do serviço do PLC, mas esse comportamento exato é uma inferência e não está descrito no registro.
- O vetor indica acessibilidade pela rede, baixa complexidade, sem privilégios e sem interação do usuário.
- A pontuação base 9.3 é um valor fornecido pelo CNA; nenhum segundo provedor de pontuação aparece no registro.
Produtos e versões afetados
O registro identifica o produto como PLCs Delta Electronics DVP12SE, mas não contém faixas de versões afetadas, dados CPE nem versões corrigidas. Não é possível saber a partir do registro se outros modelos da série DVP são afetados. Recomenda-se consultar o aviso do fabricante para o escopo de versões e tratar a ausência de dados como desconhecida, e não como não afetada.
Status de exploração
O registro indica que a CVE não consta no catálogo KEV da CISA. Nenhuma exploração confirmada aparece nas fontes consultadas. A estimativa EPSS do registro é uma probabilidade de 0,00428 com percentil de 0,35284, datada de 2026-10-13. O EPSS é um modelo estatístico de probabilidade de exploração e não é evidência de que a exploração tenha ocorrido.
Correção e mitigação
- Obtenha o aviso do fabricante Delta Electronics e confirme quais revisões de firmware ou hardware do DVP12SE são afetadas e quais atualizações estão disponíveis.
- Aplique as atualizações ou medidas de contorno fornecidas pelo fabricante assim que forem validadas para o seu ambiente; o registro não informa uma correção.
- Restrinja o acesso ao serviço Modbus TCP a estações de engenharia e supervisão conhecidas, usando segmentação e regras de firewall que mantenham os PLCs fora das redes corporativas gerais e de redes expostas à internet.
- Desative o Modbus TCP em dispositivos onde ele não é necessário operacionalmente, desde que o fabricante confirme que essa configuração é suportada.
- Acompanhe a entrada do NVD e o registro no CVE Program para atualizações.
Orientações de detecção
- Monitore a quantidade de conexões Modbus TCP, a taxa de sessões e o volume de tráfego para cada PLC em relação a uma linha de base, com alertas para picos sustentados.
- Registre e revise conexões aos PLCs originadas de hosts fora das estações de engenharia aprovadas.
- Observe indisponibilidade, reinicializações ou comportamento anormal de CPU e memória relatados pelos controladores ou ferramentas de monitoramento.
- Correlacione a telemetria da rede OT com registros de mudança para separar manutenção autorizada de anomalias.
Limitações das informações disponíveis
- O registro não tem lista de versões afetadas, lista de versões corrigidas nem identificadores de produto além do nome do modelo.
- O texto do aviso do fabricante não está no registro, portanto seus detalhes não são confirmados aqui.
- A pontuação e o vetor CVSS 4.0 vêm do CNA; nenhuma outra fonte de pontuação aparece no registro. As métricas ambientais e de ameaça estão marcadas como não definidas.
- Pré-requisitos exatos de exploração e comportamento técnico são desconhecidos a partir do registro.
Perguntas frequentes
A CVE-2026-12818 está sendo explorada ativamente?
O registro não indica que a CVE conste no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas. O valor EPSS do registro é uma estimativa estatística de probabilidade, não uma prova de exploração.
Quais versões do Delta DVP12SE são afetadas?
O registro não lista versões afetadas nem versões corrigidas. Consulte o aviso do fabricante Delta Electronics para confirmar o escopo antes de tirar conclusões.
Qual o primeiro passo para os responsáveis pelos ativos?
Identifique os dispositivos DVP12SE no seu ambiente, confirme a exposição do Modbus TCP e restrinja o acesso a estações de engenharia e supervisão confiáveis enquanto aguarda orientação do fabricante.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.