ICS-Patchday: 17 Siemens-Hinweise, Fix für ArmorBlock

Siemens, Schneider Electric und Rockwell Automation haben ihre neuesten Sicherheitshinweise für industrielle Steuerungssysteme (ICS) veröffentlicht. Siemens liegt dabei mit 17 neuen Hinweisen vorn. Rockwells einziger Hinweis betrifft eine kritische Lücke in den 1732E-ArmorBlock-Geräten, über die Angreifer ein Admin-Konto übernehmen können.

Die Veröffentlichungen fallen auf denselben Tag wie Microsofts Patchday im Oktober 2026. Mehrere Industrieanbieter nutzen diesen monatlichen Rhythmus, um eigene Updates herauszugeben.

Siemens: Hunderte Lücken in Simatic-CPUs

Für einen Teil der Schwachstellen aus den Siemens-Hinweisen gibt es bereits Patches. Für die übrigen hat das Unternehmen Gegenmaßnahmen veröffentlicht, die Kunden nutzen können, bis dauerhafte Korrekturen bereitstehen.

Die kritischen Schwachstellen betreffen bestimmte Simatic-S7-1500-CPUs, Industrial-Edge-Geräte und den Ruggedcom Crossbow Station Access Controller (SAC). Der Hinweis zu den Simatic-CPUs ist der umfangreichste. Er umfasst mehr als 400 Schwachstellen im GNU/Linux-Subsystem der betroffenen Prozessoren.

Schwachstellen mit hohem Schweregrad wurden in einer langen Reihe von Produkten behoben:

• Ruggedcom Crossbow und Ruggedcom APE1808
• Simatic IPC und Simatic WinCC
• PSS(R)SINCAL
• die .NET-Client-Bibliothek für die Simatic S7 Webserver API
• Industrial Edge App Publisher
• Apogee, Desigo und Talon

Sentron 3NA COM Fuse und Capital Embedded AR Classic erhielten Patches für Lücken mittleren Schweregrads. Außerdem wies Siemens Kunden auf eine missverständliche Stelle in der Dokumentation hin, die Simatic-S7-SPS (speicherprogrammierbare Steuerungen) und verwandte Produkte betrifft.

Schneider Electric und Rockwell Automation

Schneider Electric hat zwei Hinweise veröffentlicht, die jeweils eine Schwachstelle mit hohem Schweregrad beschreiben.

Die erste betrifft Pro-face STW6000 und Harmony STW6. Ein Angreifer könnte die Kontrolle über ein Gerät übernehmen, wenn er den angegriffenen Nutzer dazu bringt, eine präparierte Webseite aufzurufen. Die zweite betrifft Sage-RTUs (Fernwirkstationen). Ein privilegierter Nutzer könnte sie ausnutzen, um manipulierte Firmware aufzuspielen.

Der Hinweis von Rockwell Automation behandelt zwei Schwachstellen in 1732E ArmorBlock. Über die kritische Lücke kann ein Angreifer das Passwort des Webservers auf dem Gerät ändern, ohne sich vorher anzumelden - was zur Übernahme des Admin-Kontos führen kann. Die zweite Lücke lässt sich für Denial of Service (DoS) nutzen.

CISA, CERT@VDE und weitere Hersteller

Die US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) hat am Dienstag zwei neue ICS-Hinweise veröffentlicht. Einer beschreibt Schwachstellen in Swann-Kameras vom Typ SWIFI-SE2KIC, über die Videoinformationen offengelegt werden. Der andere betrifft eine Rechteausweitung in Ignition, einem Produkt von Inductive Automation.

CERT@VDE, ein deutsches CERT mit Schwerpunkt Industrieautomation, hat einen Hinweis veröffentlicht. Er beschreibt eine Schwachstelle in Benders Customer&Partner-Plattform, über die Informationen preisgegeben werden können.

Weitere Hersteller haben zwischen dem Patchday im vergangenen Monat und dem aktuellen Hinweise veröffentlicht:

• Moxa: zwei schwerwiegende Schwachstellen in Protokoll-Gateways
• Honeywell: Pro-Watch
• Hitachi Energy: Asset Suite, RTU500 und MicroSCADA
• Johnson Controls: ADVMS, Illustra Standard und EasyIO
• ABB: Automation Builder, Mint Workbench, AC500, Protection and Control IED Manager, Freelance und dynovaPRO

Die Lücke in dynovaPRO könnte über eine Umgehung im Ablauf zum Zurücksetzen von Zugangsdaten die Übernahme von Konten ermöglichen. ABB sind nach eigenen Angaben keine Angriffe in freier Wildbahn bekannt, das Unternehmen hat aber verdächtige Aktivitäten in seinen eigenen Logs entdeckt.

"Die interne Log-Analyse ergab 26 Passwortänderungen bei 9 Kunden, was auf Test- oder Erkundungsaktivitäten hindeuten könnte", so das Unternehmen.

Organisationen, die Industrieanlagen betreiben, sollten CISA und CERT@VDE genau im Blick behalten, da beide regelmäßig ICS-Hinweise veröffentlichen.

Unsere Einschätzung

Zwei Lücken aus dieser Runde verdienen besondere Aufmerksamkeit: das Passwortproblem bei Rockwells ArmorBlock und die Umgehung beim Zurücksetzen in ABBs dynovaPRO. Beide sind Schwächen bei der Authentifizierung, die einem Angreifer ein Admin-Konto verschaffen könnten. ABBs Log-Funde legen nahe, dass jemand die Umgehung bereits ausgetestet haben könnte, auch wenn bislang keine Angriffe bestätigt sind.

Die mehr als 400 Lücken im GNU/Linux-Subsystem der Simatic-CPUs verweisen auf ein anderes Problem. Industrielle Hardware wird zunehmend mit Allzweck-Betriebssystemen ausgeliefert - und bringt deren gesamten Rückstand an Schwachstellen gleich mit. Anlagenbetreiber patchen in der Regel langsam, und einige Siemens-Korrekturen stehen noch aus. Bis dahin kommt es also auf die veröffentlichten Gegenmaßnahmen an.

Auch der Druck auf die OT-Sicherheitspolitik wächst. Die CISA wurde zuletzt aufgefordert, eine verbindliche OT-Sicherheitsrichtlinie zu erlassen, und veraltete Geräte schränken die Transparenz in vielen Industrienetzen weiterhin ein. Leser sollten auf Berichte über Angriffe auf die Lücken in dynovaPRO und ArmorBlock achten - und darauf, wann Siemens die noch fehlenden Korrekturen ausliefert.