Hitachi Energy TRO600：存取限制繞過及未認證檔案讀取漏洞

CVE-2026-10756 · CVE-2026-106087

主要來源公告：2026-10-27

本站刊登：2026-10-30 · 內容更新：2026-10-30（香港日期）

情報摘要

Hitachi Energy 公告兩項 TRO600 漏洞：CVE-2026-10756 讓已認證攻擊者繞過網絡存取限制；CVE-2026-106087 可讓未認證攻擊者讀取敏感檔案。兩者的受影響版本範圍不同，應按漏洞分別核對。

CVE-2026-10756 可令攻擊者存取原本只供本機使用的服務，影響敏感功能、資料及可用性；CVE-2026-106087 涉及任意檔案讀取，包括設定及密碼資料。

本篇以供應商 2026 年 10 月 27 日初版公告及 CNA 記錄為依據，不把後來的轉載日期當成漏洞發現日期。

Hitachi Energy TRO600 系列；CVE-2026-10756：9.2.1.6 及更早；CVE-2026-106087：9.1.1.0 及更早。

使用 TRO600 工業通訊設備的 OT／ICS 維運及資安團隊。

按供應商公告及現場變更程序更新至 9.2.2.1。CVE-2026-106087 已於 9.1.2.0 修復，但不要把此版本視為亦已修復 CVE-2026-10756。更新前評估運作風險，避免設備直接連接互聯網，以防火牆限制存取。

供應商公告及 CNA 記錄：CVE-2026-10756 的 CVSS v4.0 為 7.7；CVE-2026-106087 為 8.7，均屬 High。供應商另列兩者 CVSS v3.1 均為 7.5。

供應商稱公告發布時未有已知利用；這是截至當時的說法，不保證其後沒有攻擊。

未核實香港部署或受害個案。

CVE-2026-106087 的官方受影響範圍是 9.1.1.0 及更早，不應擴寫至 9.2.1.6。