CVE-2026-124002CVSS 9.3用户名命令注入
影响 5.2.3 至低于 5.7.0 的版本。登录用户名在认证前就会进入 shell。
Copeland XWEB EVO 漏洞可导致制冷控制设备遭远程接管
VulnCheck 披露已停止支持的 XWEB EVO 系列存在 14 个漏洞，并在诱捕系统发现针对其中两个漏洞的请求。旧版设备无需登录即可执行 root 命令，5.8.8 仍存在凭据可预测的问题。
- 披露时间
- 2026年11月12日
- 公开披露日期
- 严重程度
- CVSS 9.3 × 3
- 本页收录 14 个 CVE
- 波及范围
- 网络可达的 Copeland 和 Dixell XWEB EVO 设备，包括制冷管理界面。
- Copeland · Dixell · XWEB EVO · OT
- 在野利用
- 说法不一
- VulnCheck 在诱捕系统观察到构造请求，生产设备遭入侵尚未证实。
发生了什么
若旧版 XWEB EVO 的管理界面网络可达，攻击者无需账号即可写入配置或执行 root 命令。本批漏洞还包括截至 5.8.8 固件上的可预测凭据，以及取得管理员或 root 访问权限的路径。研究正文将部分 Lua 路径归为旧版特有，但 CNA 记录仍将 CVE-2026-124008、CVE-2026-124009、CVE-2026-124014 和 CVE-2026-124015 的影响上限列为 5.8.8，其中 CVE-2026-124015 的下限为 5.6.2。排查时请参考 CNA 范围，并向 Copeland 确认具体型号和构建版本。根据公告，5.6.2 已去除 xwconsole.cgi 的特定风险，但这批漏洞仍影响较新的固件。
VulnCheck 将诱捕流量描述为机会式探测。记录证实有人发起利用尝试，生产设备实际失陷数量及运营损失仍待确认。CERT-FR 曾将 Copeland 和 Dixell XWEB 列入制冷攻击中遭入侵的控制设备。11 月的探测不能确定那次攻击使用了哪些漏洞。
马桶里有什么
CVE-2026-124003CVSS 8.5高权限 Lua 解释器注入
影响低于 5.6.2 的版本。带有 setuid-root 权限的解释器可将构造的参数传给 shell。
CVE-2026-124004CVSS 9.3硬编码管理员后门
影响低于 5.6.2 的版本。硬编码凭据可取得管理员会话。
CVE-2026-124005CVSS 9.2管理员每日密码可预测
影响 4.3.0 至 5.8.8。可用设备 MAC 地址和日期计算每日凭据。
CVE-2026-124006CVSS 9.2Linux root 密码可预测
影响截至 5.8.8 的版本。root 凭据可推算，较新固件使用每日口令生成。
CVE-2026-124007CVSS 9.2密码字段命令注入
影响低于 5.6.2 的版本。密码字段中的 shell 元字符可在认证前进入命令。
CVE-2026-124008CVSS 8.6设备模板命令注入
影响 5.2.3 至 5.8.8。已认证用户可通过模板处理注入命令。
CVE-2026-124009CVSS 8.6备份命令注入
影响 5.2.3 至 5.8.8。已认证用户可通过备份输出路径注入命令。
CVE-2026-124010CVSS 9.3未经认证执行 root 命令
影响低于 5.6.2 的版本。请求 xwconsole.cgi 无需登录即可执行 root 命令。
CVE-2026-124011CVSS 6.9MAC 地址与时钟泄露
影响 5.6.2 至 5.8.8。无需认证的接口会泄露用于推算每日密码的信息。
CVE-2026-124012CVSS 9.2管理员每日密码认证绕过
影响 5.6.2 至 5.8.8。内置管理员账号接受推算出的每日凭据。
CVE-2026-124013CVSS 8.7配置导入命令注入
影响 5.6.2 至 5.8.8。已认证用户可在导入或恢复配置时注入 shell 命令。
CVE-2026-124014CVSS 8.8未经认证写入配置
CNA 列出 4.3.0 至 5.8.8。调用者无需登录即可覆写系统配置。
CVE-2026-124015CVSS 8.2密码重置会话绕过
CNA 列出 5.6.2 至 5.8.8。无需认证即可重置被标记为下次登录时必须改密的账号。
修复版本
| 产品 | 安全版本 | 备注 |
|---|---|---|
| XWEB EVO through 5.8.8 | 无修复 | 已停止软件支持。没有一个版本解决整批漏洞。 |
案发时间线
2026年3月16日
Copeland 停止软件支持
Copeland 建议迁移至 XWEB PRO，并限制仍在使用的 EVO 的网络访问。
2026年11月12日
CNA 发布 14 条漏洞记录
涉及命令执行、凭据可预测、配置访问和密码重置绕过。
11月12日 22:00 UTC
VulnCheck 诱捕系统发现配置写入尝试
请求符合 CVE-2026-124014 的利用特征。截至 11 月 13 日 06:16 UTC，VulnCheck 共记录 125 次命中。
11月13日 03:41 UTC
第二个来源探测旧版 root 接口
诱捕系统收到四次针对 CVE-2026-124010 的请求，均要求接口执行 id，未报告后续载荷。
2026年11月13日
VulnCheck 发布固件分析及诱捕记录
报告说明实验室复现过程及观察到的两种请求特征。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- VulnCheck 对 XWEB EVO 的原始研究一手来源报告 14 项发现、实验室复现及观察到的两种请求特征。
- VulnCheck 发布的 CVE-2026-124014 CNA 记录一手来源将 4.3.0 至 5.8.8 列为受配置写入漏洞影响的版本。
- VulnCheck 发布的 CVE-2026-124015 CNA 记录一手来源将 5.6.2 至 5.8.8 列为受密码重置绕过影响的版本。
- Copeland XWEB EVO 停止支持公告一手来源软件支持于 2026 年 3 月 16 日结束，并建议迁移和采取临时管控措施。
- Copeland 网络安全指南一手来源建议取消互联网访问、过滤流量并限制 SSH。
- CERT-FR 制冷控制设备告警一手来源记录此前 Copeland 和 Dixell XWEB 等设备失陷，并给出安全恢复指引。