Forescout ha eseguito il porting di un exploit per PLC WAGO con Claude Code per $535.74 — e ha brickato il controller nel tentativo di ottenere di più

Il 1º settembre 2026, il gruppo di ricerca di Forescout Research, Vedere Labs ha pubblicato un esperimento in cui ha fornito a Claude Code un terminale, lo strumento di reverse engineering Ghidra, un binario firmware e un controller fisico WAGO 750-831, per poi chiedergli di adattare un exploit per l'esecuzione di codice remoto pre-autenticazione che funzionava già sul modello strettamente correlato WAGO 750-852. Il modello ci è riuscito: ha capito perché il suo shellcode continuava a essere cancellato, ha modificato la sequenza di attivazione ed eseguito shellcode ARM fornito dall'attaccante su hardware reale senza credenziali. Il costo è stato di 8 ore e 32 minuti di tempo di sessione distribuito su più giorni, $535,74 di utilizzo delle API e di supervisione umana continua. Un tentativo successivo di estendere l'exploit a un impianto di comando e controllo ha scritto in una regione di memoria mappata in flash e ha reso definitivamente inutilizzabile il controller — l'unità di test dei ricercatori stessi, non un'apparecchiatura sul campo. L'esperimento è un record in l'archivio degli incidenti IA, che contiene l'intero set di record, le sue fonti e le voci adiacenti di questa serie.

Quello che Forescout ha effettivamente consegnato al modello

La configurazione conta più del numero che fa notizia, perché decide cosa l'esperimento mostra e cosa non mostra. Il resoconto di Vedere Labs descrive una configurazione interattiva: Claude Code aveva un terminale, i file di riferimento, strumenti di analisi tra cui Ghidra e accesso di rete a un target attivo all'indirizzo 192.168.2.14 — un WAGO 750-831 con firmware V01.04.16. I ricercatori potevano intervenire in qualsiasi momento durante la sessione. Non c'erano né un debugger né il codice sorgente del firmware del target, secondo la nota di ricerca della Cloud Security Alliance sul caso.

La vulnerabilità era già nota e già documentata. CVE-2021-31886 è un buffer overflow basato sullo stack nel server FTP Nucleus, raggiungibile prima dell'autenticazione sulla porta TCP 21 inviando un comando USER di dimensioni eccessive, e il precedente lavoro di Forescout aveva già prodotto un exploit funzionante per il 750-852. The Hacker News riporta il punteggio CVSS pari a 9.8, assegnato da Siemens, che mantiene Nucleus. L'avviso originale è VDE-2021-050 di CERT@VDE.

Quindi non si è trattato di scoperta autonoma di vulnerabilità. Si è trattato di un porting supervisionato: un bug noto, un exploit di riferimento funzionante, un dispositivo gemello, un esperto a disposizione. Il linguaggio di Forescout è preciso al riguardo, e la sua stessa conclusione è che la barriera resta alta. Ciò che l'esperimento misura è il costo marginale di spostare un exploit da un dispositivo che qualcuno ha già compromesso al dispositivo successivo della stessa famiglia — che, come osserva la nota della Cloud Security Alliance, è il passo che decide se una lacuna di patch su un modello è una lacuna di patch su tutti.

Otto ore e un buffer da 256 byte

La prima cosa da annotare è quanto tempo della sessione sia stato speso in errore. Forescout afferma che il primissimo prompt del modello ha fatto emergere un diverso potenziale bug FTP, non CVE-2021-31886; i ricercatori lo hanno messo da parte, e l'azienda afferma che la revisione manuale suggerisce che potrebbe trattarsi di una vulnerabilità separata, precedentemente non identificata, senza CVE assegnato. Una sessione successiva non è riuscita a tracciare correttamente la funzione vulnerabile e ha prodotto un exploit non valido. Il modello ha inseguito ipotesi false, decompilato codice non correlato ed esaurito il contesto.

Ha comunque ottenuto un risultato intermedio: un payload che ha mandato in crash il 750-831, il che ha dimostrato che l'overflow raggiungeva il secondo dispositivo senza però consentire ancora un'esecuzione controllata. È in questa distinzione — crash rispetto a controllo — che la sessione si è arenata. Ogni payload costruito dal modello veniva cancellato prima che potesse essere eseguito, e la causa si è rivelata essere la normale gestione FTP sul target: dopo il comando USER di dimensioni eccessive, la normale elaborazione azzerava un buffer da 256 byte che conteneva lo shellcode dell'attaccante. Forescout afferma che individuare il responsabile ha richiesto un'analisi condotta da umani della catena di chiamate e del sink, e identifica la routine come sub_100BA758.

La correzione è consistita in un cambio di sequenza. L'exploit per la 750-852 inviava USER seguito da QUIT. Sulla 750-831 il modello passava a USER seguito da CWD, e ometteva il terminatore CRLF sul comando, così il percorso di elaborazione non si completava mai nel modo consueto e il buffer sopravviveva abbastanza a lungo da essere eseguito. L'exploit veniva quindi eseguito nel contesto della callback di ricezione Ethernet. Secondo Forescout, la capacità dimostrata si limita all'invio di pacchetti di rete.

Una volta che l'esecuzione del codice è stata affidabile, il ritmo è cambiato completamente. Il modello è passato da shellcode no-op a due payload di rete funzionanti in 12 minuti: uno inviava richieste echo ICMP a un host controllato dall'attaccante, l'altro un pacchetto UDP contenente la stringa "PWNED". Quel dato di 12 minuti è il numero più significativo dell'intero resoconto, ed è quello che il write-up di Forescout tratta come l'avvertimento — la parte difficile era il primo passo, e i passi successivi erano quasi a costo zero.

Il conto: 535,74 dollari per un porting che un umano avrebbe potuto fare più in fretta

Per la fase finale di esecuzione remota di codice, Forescout riporta $535,74 di utilizzo API nell'arco di una sessione di 8 ore e 32 minuti, con il lavoro distribuito su più giorni di ricerca anziché svolto in un'unica sessione. Le cifre dei token che pubblica sono 2,6k in input e 1,3M in output.

Questa suddivisione è abbastanza insolita da segnalarla. In una lunga sessione di coding agentico, di norma è il lato input a dominare, perché a ogni turno al modello viene inviato nuovamente un contesto sempre più ampio; una sessione di 8,5 ore fatturata a 2.600 token di input non è una rendicontazione completa di quanto è costato il contesto. Forescout non pubblica alcuna ripartizione, e SecurityWeek, riportando la stessa fase lo stesso giorno, indica solo "più di $500" e nessun dato sui token. Il totale in dollari è la cifra supportata da entrambi i resoconti; la suddivisione input/output va letta così come riportata, non come un registro di fatturazione completo.

Il costo è l'aspetto più debole dell'argomentazione a favore dell'assistenza AI, e la stessa Forescout lo ammette. La valutazione dell'azienda è che un ricercatore avrebbe potuto trasporre questo exploit «senza AI, in meno tempo e a costi inferiori, mantenendo peraltro il PLC in vita». L'esperimento non è un argomento a sostegno del fatto che il modello sia più economico di un esperto. È un argomento su quale direzione stia prendendo quel confronto.

Il controller bricked

Il guasto è la parte di questo resoconto con un risultato fisico. Dopo che è stata stabilita l'esecuzione di codice, una sessione successiva ha cercato di estendere l'exploit trasformandolo in un impianto di comando e controllo. Forescout afferma che i payload sono diventati progressivamente più complessi e che uno di essi ha scritto in una regione di memoria mappata sulla flash. Il controller è stato reso definitivamente inutilizzabile.

Tre cose vanno tenute distinte qui. Il dispositivo era l'hardware di test dei ricercatori stessi, quindi nessun operatore ha perso una linea di produzione e l'archivio non registra alcun danno reale. Il danno è stato causato da un agente con accesso legittimo all'apparecchiatura, che svolgeva un compito richiesto dai suoi operatori — non da un attaccante. E la scrittura è stata irreversibile in un modo in cui di solito non lo è una riga di codice errata su un server: la memoria flash di un controller embedded non è un file che si può ripristinare. L'impostazione di Forescout discende direttamente da questo. Il rischio immediato che individua non è un agente che decide autonomamente di attaccare un controller, ma «un agente autorizzato che compie l'azione sbagliata su un sistema fisico» dove un guasto ha conseguenze operative.

Che cosa è stabilito e che cosa non lo è

L'archivio assegna a questo record una confidenza A, gravità media, non contestato, senza danni reali registrati — e il lavoro di reporting alla base regge su questi termini. Il resoconto di Forescout è la fonte principale. SecurityWeek ha pubblicato il proprio rapporto il 1° settembre 2026, lo stesso giorno; The Hacker News e il laboratorio di ricerca della Cloud Security Alliance hanno pubblicato entrambi il 2 settembre. Nessuno di essi è una replica tecnica indipendente, e nessuno lo sostiene, ma concordano sul meccanismo, sulle due versioni del modello, sul costo, sull'esecuzione del payload da 12 minuti e sul bricking.

Stabilito, su quel verbale:

• Che un porting supervisionato è riuscito. Un exploit pre-autenticazione per CVE-2021-31886 è stato adattato dal WAGO 750-852 a un 750-831 con firmware V01.04.16, e lo shellcode ARM fornito dall'operatore è stato eseguito sul dispositivo in esecuzione.

• Il meccanismo. Il buffer di 256 byte azzerato dalla normale gestione di USER, il passaggio da QUIT a CWD e il terminatore CRLF omesso sono descritti in modo coerente da Forescout e dalla copertura secondaria.

• Le cifre della fase finale: 8 ore e 32 minuti, $535,74, 2,6k token di input e 1,3M token di output, 12 minuti dall'esecuzione del codice a due payload funzionanti.

• Che l'estensione C2 ha brickato un controller, e che era un'unità di test.

• Che il verdetto di Forescout stesso sia negativo sotto il profilo dei costi. Afferma chiaramente che un ricercatore umano avrebbe probabilmente potuto realizzare questo porting più rapidamente e a costi inferiori, e senza distruggere l'hardware.

Non stabilito, o in tensione:

• Validazione tecnica indipendente. Ogni resoconto pubblicato, inclusa l'analisi della Cloud Security Alliance, risale alla descrizione che Forescout dà del proprio lavoro. Nessuno al di fuori di Forescout ha riprodotto la porta, e il rapporto di SecurityWeek non contiene alcun commento di esperti indipendenti.

• Le date di calendario delle sessioni. Forescout fornisce durate, non date. L'unica data certa nel registro è la data di pubblicazione, 1 settembre 2026.

• Quanti modelli WAGO copre l'avviso alla base. The Hacker News riporta un elenco di dieci modelli interessati tratto da VDE-2021-050 di CERT@VDE; la nota della Cloud Security Alliance indica il numero in 19. L'avviso stesso è l'autorità, e la discrepanza è un motivo per verificarlo anziché citare l'uno o l'altro numero.

• La contabilizzazione esatta dei token di input, come descritto sopra.

Che cosa ha effettivamente fatto l’impianto fallito. Forescout afferma che un payload ha scritto in una regione mappata sulla flash; non pubblica il payload, l’indirizzo o la sequenza, quindi il bricking non può essere ricostruito dall’esterno.

Lato WAGO: nessun aggiornamento disponibile

Il motivo per cui un porting verso un modello affine è importante è che il modello affine non verrà corretto. Il VDE-2021-050 di CERT@VDE elenca come interessati i controller della serie 750 che eseguono il sistema operativo in tempo reale Nucleus V1 e afferma: «Al momento, non sono disponibili aggiornamenti per questa versione». The Hacker News osserva che due modelli presenti nell'elenco degli interessati, il 750-882 e il 750-885/0xx-xxx, sono assenti sia dalla sezione sulle mitigazioni dell'avviso sia dalla sua tabella delle azioni correttive, lasciando incerto il loro stato.

Siemens, che mantiene Nucleus, afferma che non è prevista alcuna correzione per Nucleus NET in tutte le versioni, secondo The Hacker News, mentre le versioni di Nucleus ReadyStart V3 dalla V2013.08.1 in poi correggono già CVE-2021-31886. È una magra consolazione per un controller il cui firmware include lo stack più vecchio e il cui fornitore non ha pubblicato alcun percorso di aggiornamento.

La vulnerabilità non è nuova. CVE-2021-31886 è stata una delle 13 vulnerabilità divulgate nel novembre 2021 con il nome NUCLEUS:13 da Forescout e Medigate. The Hacker News ha anche verificato, il 1º settembre 2026, se fosse facile trovare codice di exploit pubblico: una ricerca sui repository GitHub non ha restituito nulla, e la vulnerabilità era assente da Exploit-DB e Packet Storm — con l’avvertenza che la ricerca di GitHub copre nomi e descrizioni dei repository anziché il contenuto dei file. Un porting che ha richiesto a Forescout otto ore e mezza e più di cinquecento dollari non è venuto da un copia-incolla.

Perché secondo Forescout la linea di tendenza conta comunque

La conclusione di Forescout è volutamente poco entusiasmante, ed è la parte del resoconto che più facilmente può essere fraintesa in un senso o nell'altro. «Si può fare, ma non è così semplice come sembra», scrive l'azienda. Osserva che la sua precedente ricerca NUCLEUS:13 era giunta alla conclusione che questi problemi probabilmente non dovrebbero figurare in cima alla lista delle priorità di un proprietario di asset, e afferma che i progressi dell'IA dovrebbero spingere le organizzazioni a rivedere tale valutazione — perché «difficile da sfruttare» diventa una ragione più debole per dare meno priorità a un controller man mano che lo sforzo richiesto per sfruttarlo diminuisce.

La nota della Cloud Security Alliance fornisce l'utile formula sintetica per lo schema: primo passo difficile, passi successivi rapidi. Il primo adattamento è costato otto ore e mezza, la supervisione di esperti e un dispositivo distrutto. Il secondo e il terzo payload hanno richiesto dodici minuti. Se il primo passo diventa più economico, il rapporto non resta dov'è.

Quell'argomento si inserisce però in un contesto specifico, pur essendo separato dall'esperimento Forescout e non dovrebbe essere letto come prova al riguardo. The Hacker News riporta che il 19 agosto 2026la NSA, la CISA, l'FBI, il Department of Energy e l'EPA hanno emesso un avviso congiunto che metteva in guardia riguardo a script di exploit generati dall'IA rivolti a PLC Siemens S7 esposti a Internet; le agenzie hanno valutato che l'attività era probabilmente finalizzata a ricognizione persistente e sviluppo di capacità, e non l'hanno attribuita ad alcun soggetto. La stessa testata riporta le risultanze dell'FBI e dell'EPA su intrusioni presso servizi idrici in almeno sette Stati dal 27 luglio 2026, alcune delle quali hanno degradato le operazioni, in cui gli attaccanti hanno modificato indirizzi IP e password su controller Rockwell Automation MicroLogix esposti a Internet senza bisogno di alcun exploit. L'avviso congiunto metteva in guardia sul fatto che l'IA per la generazione di exploit stava «riducendo drasticamente le competenze tecniche e il tempo necessari» per costruire strumenti di attacco ICS funzionanti.

Cosa dovrebbe trarne un operatore

La risposta pratica è quella poco appariscente, e non dipende da come si risolverà il dibattito sull'IA. Stabilite se sulla rete è presente un controller della serie 750 o un altro controller basato su Nucleus e quale firmware esegue. Dove non esiste un aggiornamento, limitate o disattivate l'amministrazione via FTP, Telnet e web, bloccate la porta 21 al confine, segmentate la rete di controllo e non esponete le interfacce di gestione a Internet. Monitorate l'uso anomalo dei protocolli, i crash ripetuti e il traffico in uscita inatteso: un crash su un controller è un segnale, non solo un'interruzione del servizio.

La Cloud Security Alliance aggiunge un passaggio che discende dalla logica stessa dell'esperimento: verificare in modo indipendente se modelli affini condividono una vulnerabilità, invece di presumere che l'ambito della patch di un fornitore corrisponda all'esposizione effettiva. È il controllo che Forescout ha eseguito su una coppia di dispositivi, e la sua tesi è che lo stesso controllo diventa meno costoso nella stessa misura in cui lo diventa il primo passaggio.

Per i team che utilizzano agenti vicino a sistemi fisici, il bricking è la lezione concreta. La raccomandazione di Forescout è di mantenere esperti umani nel ciclo per le decisioni critiche per la sicurezza e di rendere la fiducia nella difesa autonoma "limitata, osservabile e verificabile": cancelli di approvazione prima delle scritture su firmware o flash, rollback dove esiste e test su hardware non di produzione, perché su un controller embedded una scrittura errata non si annulla.

Il resoconto si leggerà in modo diverso a seconda di ciò che vi aspettavate. Non è una dimostrazione che si possa puntare un modello su un controllore industriale e lasciarlo fare da solo; la stessa azienda che ha eseguito il test afferma che una persona avrebbe potuto svolgere il lavoro più rapidamente e a costi inferiori. Ciò che dimostra è un prezzo misurato per il passo che un tempo richiedeva uno specialista: otto ore e mezza, cinquecentotrentacinque dollari, supervisione esperta costante e un controllore fuori uso.