Honderden koelsystemen van Danfoss zijn via internet bereikbaar, hoewel beveiligingsupdates voor de installaties al meer dan een jaar beschikbaar zijn. Dat blijkt uit onderzoek van The Shadowserver Foundation. Die informatie is belangrijk, omdat cybercriminelen onlangs koelinstallaties van supermarkten in meerdere landen wisten te hacken.
Shadowserver is een non-profitorganisatie die kwetsbare systemen op internet opspoort. Zij heeft 170 Danfoss AK-SM8xxA-controllers geïdentificeerd waarop updates voor twee beveiligingslekken ontbreken. Het gaat om de kwetsbaarheden CVE-2025-41451 en CVE-2025-41452. Daarnaast ontdekte de organisatie 136 controllers die niet zijn bijgewerkt om een derde kwetsbaarheid, CVE-2025-41450, te verhelpen.
De controllers worden gebruikt om koelinstallaties in supermarkten en andere commerciële gebouwen remote te beheren. Beheerders kunnen via een netwerkverbinding instellingen aanpassen en de werking van de installaties continu monitoren. Omdat de systemen online bereikbaar zijn, kunnen kwetsbaarheden ook op afstand worden misbruikt.
Authenticatie omzeilen
De drie kwetsbaarheden hebben verschillende gevolgen. Via CVE-2025-41450 kunnen hackers de authenticatie omzeilen. Ze kunnen zonder geldige inloggegevens toegang krijgen tot een controller. Voor dit lek bracht Danfoss al op 24 maart 2025 een beveiligingsupdate uit.
De andere twee kwetsbaarheden vereisen dat een aanvaller al toegang tot het systeem heeft. Een lek stelt hackers in staat willekeurige code uit te voeren, terwijl de andere kwetsbaarheid kan leiden tot verstoring van de beschikbaarheid. Updates voor deze problemen zijn sinds 1 augustus 2025 beschikbaar.
Vooral de combinatie van de kwetsbaarheden vormt een risico; een cybercrimineel die de authenticatie weet te omzeilen, kan mogelijk ook misbruik maken van een tweede beveiligingslek en verdergaande controle over de installatie te verkrijgen.
Ook Nederlandse installaties kwetsbaar
De bevindingen komen na aanvallen op koelinstallaties van supermarkten. Hierbij werd misbruik werd gemaakt van CVE-2025-41450. De meeste kwetsbare controllers bevinden zich volgens Shadowserver in Frankrijk en de Verenigde Staten. In Nederland zijn negen kwetsbare systemen aangetroffen. Het is niet duidelijk of deze installaties inmiddels zijn aangevallen.