结论先行：很多设备接入网络的初衷只是「被监测」，但同一条通道往往顺带保留了「被控制」的能力。当这条通道被映射到公网、又缺少第二道身份校验时，看到参数和改掉参数之间就不再有任何距离。可行的做法是把只读接入与可写接入分开，再把设备按「改错了会发生什么」排一次序。

这次发生了什么

据境外多家媒体与公开通报，2026 年 10 月中旬，多家连锁零售企业分布在数百家门店的制冷与冷冻系统被远程入侵。攻击者篡改了除霜相关参数，触发持续强制除霜，库温在夜间被抬升到 50 摄氏度并维持约 6 小时；受影响门店被迫丢弃全部生鲜与冷冻商品，个别门店的除霜电加热部件长时间干烧后引发明火，触发了自动喷淋。有门店上报的单店食品货损达到 2 万欧元量级，行业侧对单日总损失的估计在数千万欧元量级。

当地检察机关已立案，该国网络安全主管机构确认在相关软件中发现一处缺陷并已联系供货方，同时表示正与其他国家的同行协同研判，因为同一批软件版本可能也在别处部署。截至通报时，尚没有公开的失陷特征可供企业自行排查。

三个更值得抄下来的细节

一、管理面被直接映射到了公网

公开分析提到，为降低异地维护成本，部分现场的监控网关把设备的管理控制台直接映射到公网，没有部署第二重身份校验，长期沿用出厂口令或弱口令。「为了维护方便开一个口子」是这类现场最常见的妥协，而它把设备的安全边界交给了口令强度。

二、监视接入和控制接入走了同一条路

设备当初联网的理由是「能看到温度、能远程调节」，这两件事在实现上常常是同一个接口、同一套凭据。于是当接口暴露时，被读走的是数据，被改掉的是工艺参数——这次被改的正是除霜逻辑。把「看」和「改」放在一条通道上，等于默认两者的风险等级相同。

三、报警通道被抑制，人到最后才发现

披露的现场描述里有一条容易被略过：温度报警机制在系统中被静默抑制或推迟响应，管理人员未能在早期察觉。安全与工艺两条监控通道如果共用同一套凭据、同一个平台，攻击者拿到一次访问就能同时把动作和告警一起处理掉。

设备停更之后，处置清单该改哪一行

公开的处置建议给出了一组顺序：把控制器的网络访问范围只开放给负责维护的服务商；恢复出厂设置；安装全部可用补丁；更换设备上所有认证凭据；排查设备上的现有账户；重新配置设备参数。

但同一份材料也点出一件事——受影响的部分型号已不再发布补丁，第三条对这类设备没有实际意义。这是个结构性事实，不是一个可以靠流程绕开的问题：设备还在生产使用，厂商的软件支持已经结束。对这类资产，网络层的收敛就不再只是「加固措施」，而是这类资产现阶段主要能依靠的控制手段。

公开资料里还保留了两个漏洞编号，CVE-2025-41450（身份验证绕过）与 CVE-2025-41451（命令注入），此前已被相关机构提示过风险。厂商方面称受影响设备多属旧款，早已建议升级更换。

为什么这类设备特别难管

与数据中心的服务器不同，这类设备在组织里常常处于「三方之间」：使用它的是一线门店，采购它的是基建或运维部门，而维护它的是外部服务商——有零售商就明确说明，自己并不直接向设备原厂采购，而是通过制冷运维服务商买到的整套系统。设备归属、访问权限、补丁责任分散在三条线上，任何一条线缺一个明确的责任人，设备就会长期停在无人更新、无人回收权限的状态。

企业侧可以先做的四件事

  • 把设备的接入性质分一次类：只读监测、可写控制、还是两者都开。只读的那一类不该保留可写通道，可写的那一类不该暴露在可信网络之外。
  • 把「改错的后果」当成排序依据。同样是联网设备，改错一个参数只是丢一条数据，还是会让实物损坏、让人受伤、让业务停摆，两者不该用同一套访问控制强度。自适应微隔离的落地经验是：先把访问关系测出来，形成白名单，再按后果严重度决定哪些段先收紧。
  • 控制面归口到一个受管入口。公开建议里的一条是让远程维护统一走受管接入点，而不是让维护方各自直连到某台设备的控制台。
  • 把这类设备写进资产台账，并给「当前版本」留一列。设备型号、当前固件版本、最后一次更新日期、负责更新的单位，四项齐全，才能在厂商发布通告时立刻回答「我们有没有」。

边界与前提

本文所述事件、处置建议与漏洞编号均来自公开报道与公开通报，事件成因的最终结论以官方调查为准；截至通报时，公开渠道尚未给出确认的入侵路径与失陷特征。文中数量与金额为公开报道口径，属参考值。文中所提的分类与隔离动作都建立在两个前提上：设备的资产台账是完整的，且网络侧的访问关系是可测的；这两项缺一，隔离就只能靠人工标注维持。

深圳市奇摩计算机有限公司在为企业做内网访问关系梳理时，通常会把这类「非 IT 设备」单独拉出来看一遍，因为它们往往不在标准资产清单上，却经常是权限最多的一批。要对本单位的生产类设备做一次访问关系与接入性质的盘点，欢迎预约咨询。