De Amerikaanse watersector is gewaarschuwd voor een beveiligingsupdate van Microsoft waardoor industriële systemen kunnen stoppen met communiceren. Microsoft kwam op 8 juni 2021 met een beveiligingsupdate voor een kwetsbaarheid in Windows DCOM Server, aangeduid als CVE-2021-26414. Via het beveiligingslek is het mogelijk om de authenticatie te omzeilen.

Distributed Component Object Model (DCOM) is een protocol gebruikt voor communicatie tussen software en computers op een netwerk. Veel industriële controlesystemen (ICS) van bedrijven zoals Rockwell Automation, GE, Honeywell en Siemens maken gebruik van DCOM. Als oplossing van de kwetsbaarheid besloot Microsoft om verschillende "hardening changes" voor DCOM door te voeren.

Om de impact hiervan te beperken werd besloten de DCOM-update gefaseerd uit te rollen. Bij de eerste fase op 8 juni 2021 stond DCOM hardening standaard uitgeschakeld en konden organisaties die zelf inschakelen. Een jaar later op 14 juni 2022 werd de tweede fase gestart, waarbij de hardening standaard werd ingeschakeld, maar organisaties de optie hadden om die uit te schakelen. De laatste fase vond afgelopen dinsdag plaats en zorgt ervoor dat DCOM hardening wordt ingeschakeld en het niet meer is uit te schakelen.

Volgens het Amerikaanse Water Information Sharing and Analysis Center (WaterISAC) kan dit ervoor zorgen dat vitale communicatie tussen industriële systemen stopt. Waterbedrijven die na het installeren van de DCOM-patch van 14 maart 2023 opeens de communicatie tussen hun systemen zien wegvallen moeten er dan ook rekening mee houden dat dit de oorzaak is, aldus het WaterISAC.