Il punto debole non è solo Zenon: è il MongoDB integrato nei servizi IIoT, che può restare esposto anche quando l’applicazione principale è aggiornata. In questo schema la patch del prodotto host non basta da sola, perché il rischio vive nel componente bundlato che molti ambienti trattano come parte invisibile del pacchetto. CISA collega i servizi ABB Ability Zenon con MongoDB 4.2 a CVE-2025-14847 e indica che una client non autenticato può leggere memoria heap non inizializzata tramite header compressi con campi di lunghezza non allineati. L’advisory richiama anche altre vulnerabilità nello stesso deployment e conferma l’impatto su ambienti critici, tra cui energia e sanità. Se IIoT Services restano installati, il database vulnerabile può continuare a esserci anche dopo l’aggiornamento di Zenon. Per chi usa software che integra servizi o database di terze parti, il problema è decidere se sostituire il componente embedded o rimuoverlo del tutto quando non serve.