欧洲超市遭新一轮冷链控制器攻击，远程更改除霜设置
11月2日，欧洲多国超市报告制冷系统异常。Sabcobel 称攻击者远程开启除霜；研究人员确认受影响设备的管理界面暴露公网。应隔离控制器，由制冷专业人员核验并恢复安全设置。
- 披露时间
- 2026年11月2日
- 更新于 2026年11月7日
- 严重程度
- 化粪池炸了
- 无 CVE：这是入侵事件，不是漏洞
- 波及范围
- 暴露公网的制冷管理系统；11月这轮攻击的具体受影响型号尚未确认
- industrial-control
- 在野利用
- 已发现
- CERT-FR 确认此前入侵，欧盟机构确认 11 月 1–2 日的新一轮攻击。
发生了什么
这是 11月的新一轮攻击，与 CERT-FR 10月告警所述法国攻击不同。Belga 对 Sabcobel 的直接采访描述，攻击者将比利时超市的蒸发器切至除霜模式，涉及 Delhaize、Carrefour、Spar 等。Ahold Delhaize 也在独立接受 Supermarket News 采访时确认制冷系统异常。更广泛的国家及门店数量仍属初步信息；本文不将安装商估计视为最终受害者统计，也不量化损失。
Kevin Beaumont 的 11月2日原帖称，已向联系人确认受影响系统的管理界面暴露公网，而且许多设备因停止维护而没有补丁。这是具名研究人员的观察，不能当作已公开取证证明所有门店都遭同一个漏洞攻击。此处未确立具体 CVE、共同攻击者，或与其他零售商及美国事件的联系。
此前 CERT-FR 告警列出 Danfoss AK-SM、AK-SC，以及 Copeland xweb、Dixell xweb。它确认此前入侵并提供可执行的隔离及恢复建议，但不能证明 11月每个受害者都使用这些型号。请与设备制造商及制冷维护商落实步骤；新一轮攻击尚无经核实的通用安全固件下限。
由于已报告的攻击正在扰乱实体制冷、危及食品存货，评为 L4。只修改控制器密码或重置设备，同时继续将未修补管理界面放在公网，并不能消除暴露。
11 月 4 日的欧盟联合声明确认 11 月 1–2 日发生第二轮攻击，并建议运营方查阅 ENISA 汇总的各国公告。爱尔兰 NCSC 建议检查所有可远程访问的设备，包括告警及通知渠道。Censys 独立测量发现，Danfoss StoreView 与 Copeland/Dixell XWEB 两类产品在 11 月 5 日共有 3,124 个不同的公网可见主机，低于 10 月 9 日的 6,695 个，下降 53%。这些数据无法说明哪些主机遭到攻击，也无法说明主机为何不再被观测到。
修复版本
| 产品 | 安全版本 | 备注 |
|---|---|---|
| 制冷控制器固件 | Model-specific | 未确立通用安全版本；隔离停止维护设备并计划替换 |
案发时间线
2026年10月12日
CERT-FR 警告制冷控制器遭入侵
这是此前法国的攻击；列出 Danfoss AK-SM / AK-SC 和 Copeland / Dixell xweb。
2026年10月16日
CERT-FR 修订恢复指南
这是该告警当前最后修订日，不是 11月新告警。
2026年11月2日
安装商及零售商报告欧洲新一轮攻击
Belga 就远程修改除霜设置采访 Sabcobel；Supermarket News 获取 Ahold Delhaize 关于受影响门店的声明。
11月2日 13:37 UTC
研究人员称受影响系统的管理界面暴露公网
Kevin Beaumont 称已向联系人核实，并警告许多设备已停止维护。帖子未提供具名 CVE 或详细取证报告。
2026年11月3日
爱尔兰 NCSC 发布面向冷链运营方的处置指南
建议检查所有可远程访问的制冷设备，包括告警与通知设置及远程访问权限。
2026年11月4日
欧盟机构确认第二轮攻击并敦促立即缓解
ENISA 与合作机构确认新一轮攻击发生在 11 月 1–2 日，受影响成员国正在调查。
2026年11月5日
Censys 测量控制器仍暴露公网的规模
Censys 在两类产品中观测到 3,124 个不同的公网可见主机，低于 10 月 9 日的 6,695 个。这是暴露量，不是攻击或受害者数量。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- CERT-FR CERTFR-2026-ALE-012一手来源10月12日告警，最后修订于 10月16日；列出此前受影响系列及恢复步骤，未确认 11月每台设备。
- Kevin Beaumont original public post一手来源11月2日向联系人核实的观察；管理界面暴露及 EOL 警告，未附公开取证证据。
- Public Mastodon status JSON一手来源可读原帖及明确的 UTC 创建时间。
- Belga interview with Sabcobel对安装商的原始采访：远程操纵除霜、断网处置及可能的食品损失。
- Supermarket News interview with Ahold Delhaize独立获取零售商声明，确认制冷异常；其他范围为报道内容，并非最终受害者统计。
- 爱尔兰 NCSC 制冷控制器公告一手来源建议取消直接公网访问，检查告警及访问权限，并核查各厂商设备。
- ENISA 与欧盟合作机构联合声明一手来源确认 11 月 1–2 日的新一轮攻击，在成员国调查期间敦促立即缓解。
- Censys 制冷控制器暴露测量一手来源Danfoss StoreView 和 Copeland/Dixell XWEB 的原始主机测量，以及推断因果关系的局限。