Útoky na chladicí zařízení v Evropě: varování NÚKIB a co udělat

Co se stalo

Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) 5. 11. 2026 upozornil na aktuální vlnu útoků na systémy vzdálené správy komerčních a průmyslových chladicích zařízení v několika evropských zemích. Podle úřadu došlo ve státech EU k neoprávněnému přístupu a ke změnám konfigurace. Úspěšný útok může narušit chlazení a způsobit provozní, materiální i finanční škody, například zkažené zboží.

V České republice zatím NÚKIB takový případ neeviduje. Konkrétní země úřad nejmenuje.

Ve stejný den vydaly americké úřady CISA, FBI a další společný leták, který vyzývá k zabezpečení průmyslového chlazení a systémů pro sledování chladicího řetězce.

Koho se to týká

Provozovatelů chlazení se vzdálenou správou, typicky:

• supermarkety a prodejny potravin,
• sklady a distribuční centra,
• zdravotnická zařízení,
• další komerční a průmyslové chlazení.

NÚKIB jmenuje tyto řídicí jednotky:

Stejnou pozornost úřad doporučuje věnovat i jiným systémům dostupným z internetu, například CAREL pCOWeb. Pokud chlazení spravuje servisní firma, zeptejte se jí – opatření níže se týkají jí i vás.

Jak se útočníci dostávají dovnitř

Podle NÚKIB útoky stojí na třech slabinách:

1. Řídicí jednotka je dostupná z internetu, takže na ni může zkoušet kdokoli.
2. Známé zranitelnosti umožňují obejít přihlášení.
3. Výchozí nebo slabá hesla ke vzdálenému přístupu.

Zranitelnosti ve zkratce

• Danfoss AK-SM 8xxA – CVE-2025-41450 je chyba ověření (podle NVD se týká verzí před 4.2, CVSS 3.1 8,2). CVE-2025-41451 dovoluje přihlášenému útočníkovi spustit na zařízení příkazy (podle NVD verze před 4.3.1). CVE-2025-41452 podle NÚKIB umožňuje měnit konfiguraci webového rozhraní a vyřadit zařízení z provozu. Danfoss podle NÚKIB doporučuje aktualizovat firmware alespoň na 4.3.1.
• Copeland XWEB Pro (firmware 1.12.1 a starší) – CVE-2026-21718 umožňuje bez přihlášení obejít ověření a spustit kód, CVE-2026-25085 je další obejití přihlášení. Obě mají podle NVD CVSS 3.1 9,8 (kritická). CISA chyby zveřejnila v únoru 2026 v bulletinu ICSA-26-057-10 (celkem 23 chyb). Výrobce opravu vydal a doporučuje nejnovější verzi firmwaru.

Co udělat

Doporučení NÚKIB pro všechny provozovatele chladicích zařízení:

1. Zjistěte, zda je správa dostupná z internetu. Zkuste otevřít webové rozhraní jednotky mimo firemní síť (třeba z mobilu na mobilních datech), nebo se zeptejte servisní firmy.
2. Zablokujte přímý přístup z internetu, případně ho co nejvíc omezte – například schovejte jednotku za VPN bránu.
3. Změňte výchozí a slabá hesla za jedinečná a silná. Pomůže generátor hesel.
4. Ověřte verzi firmwaru řídicích jednotek a nainstalujte bezpečnostní aktualizace od výrobce. U Danfoss AK-SM 8xxA alespoň verze 4.3.1, u Copeland XWEB Pro novější než 1.12.1.
5. Projděte záznamy o přístupu a nastavení zařízení – hledejte neznámá přihlášení a změny teplot, odmrazování nebo alarmů.
6. Připravte se na rychlé odpojení: mějte jasno, jak řídicí systém bezpečně odpojit od vzdáleného připojení, kdyby vzniklo podezření na útok.

Kdo je povinnou osobou podle zákona o kybernetické bezpečnosti, hlásí incident NÚKIB přes formulář na Portálu NÚKIB. Ostatní mohou incident oznámit Policii ČR.

Aktualizace

• 6. 11. 2026 – první verze článku.