Siemens KACO blueplanet 逆变器存在多个漏洞，攻击者可能利用基于CRC16的算法从设备序列号推导出技术服务凭据（CVE-2025-40946，CVSS 8.3）。此外，KACO Meteor服务器中的SQL注入漏洞（CVE-2026-41125）可能允许授权攻击者在本地网络上提升权限。这些漏洞影响众多blueplanet逆变器型号，包括NX3、TL3和gridsafe系列，涉及所有版本或低于补丁版本的特定版本。Siemens已为部分受影响产品发布更新，其他产品的修复正在准备中。作为全球能源行业部署的关键基础设施组件，这些漏洞对电网可靠性构成风险。CISA和Siemens建议应用安全更新、使用VPN并遵循纵深防御策略。

关键事实

• CVE-2025-40946：基于CRC16的算法可从序列号推导出技术服务凭据。
• CVE-2026-41125：KACO Meteor服务器中的SQL注入可实现权限提升。
• 影响多种blueplanet逆变器型号，包括NX3、TL3和gridsafe系列。
• Siemens已发布部分更新，其他修复仍在准备中。
• 全球能源行业部署；缓解措施包括更新、VPN和网络分段。

KeyAudit 数据视角