Auf der Werkbank liegt ein kleines Rad, das so tut, als hätte es mit Drama nichts am Hut. Es dreht, es stabilisiert, es sagt vermutlich nie „ich bin kritisch“, weil Bauteile mit Weltraumambition für solche Sätze keine Presseabteilung haben. Daneben steckt eine Firmware-Karte halb im Schacht. Genau da fängt das Knirschen an.
Die US-Behörde CISA hat am 2. Juli 2026 ein Advisory zum CubeSpace CW0057 Reaction Wheel veröffentlicht. Betroffen sind Firmware-Versionen vor 5.0.20. Laut CISA kann die Schwachstelle CVE-2026-13743 dazu führen, dass ein Angreifer mit physischem Zugriff beliebige bösartige Firmware auf das Gerät lädt — ohne Authentifizierung. Nicht per Fernzauber, nicht durch die Wolke, sondern mit Hand am Blech. Das macht es nicht egal. Es macht es altmodisch unangenehm.
Der technische Kern klingt nach einer dieser Schrauben, die in der Stückliste erst harmlos aussehen und später den ganzen Tisch schief stellen: CISA beschreibt eine unzureichende Prüfung kryptografischer Signaturen. Die bisherige Update-Prüfung arbeitet dem Advisory zufolge mit CRC-32. Das kann sagen: „Das Paket ist unterwegs nicht zerbröselt.“ Es kann nicht zuverlässig sagen: „Das Paket kommt wirklich von der richtigen Werkstatt.“ Integrität ist eben nicht Herkunft. Ein Stempel ist noch kein Ausweis, auch wenn er ordentlich auf dem Formular sitzt.
CubeSpace hat Firmware 5.0.20 bereitgestellt. Wichtig ist der kleine Haken, der im Serverraum gern unter einer Kabeltrommel verschwindet: Die neue Version bringt laut CISA die Möglichkeit für kryptografisch verifizierten Secure Boot mit, diese Schutzfunktion ist aber nicht automatisch aktiv. Wer den vollen Schutz will, muss signiertes Booten einschalten, besonders den vollständig unveränderlichen Modus. Mit anderen Worten: Der Riegel liegt jetzt im Kasten. Jemand muss ihn auch vorschieben.
CISA schreibt außerdem, die Lücke sei nicht aus der Ferne ausnutzbar und bislang sei keine öffentliche Ausnutzung bekannt. Das ist die beruhigende Hälfte der Meldung. Die andere Hälfte steht daneben und räuspert sich: Physischer Zugriff ist in Lieferketten, Laboren, Integrationshallen und Wartungswegen keine mythische Einhornbedingung. Manchmal ist er nur ein schlecht bewachter Tisch, ein Versandkarton mit Reisepass oder ein Gerät, das kurz „nur mal eben“ beim falschen Schraubendreher liegt.
Die Blechpresse mag an solchen Meldungen diese kleine Gemeinheit: Es geht nicht um das spektakulärste Internetfeuerwerk. Es geht um Vertrauen in sehr konkrete Dinge. Updatepfade. Bootloader. Signaturen. Wer darf ein Gerät umprogrammieren, das später nicht im Pausenraum steht, sondern in einer Infrastrukturkette, die Kommunikation heißt und weltweit eingesetzt wird? Da reicht es nicht, wenn die Firmware nur ordentlich gefaltet im Umschlag steckt.
Die praktische Lehre ist entsprechend trocken: Firmware aktualisieren, Secure Boot wirklich aktivieren, physische Zugriffe ernst nehmen, Wiederherstellungswege kennen. Und bitte nicht die alte Maschinenweisheit vergessen: Wenn ein Sicherheitsfeature eingebaut, aber ausgeschaltet ist, dann ist es erstmal ein Deko-Hebel mit besserem Lebenslauf.
Quellenkasten
Faktenbasis: CISA-Advisory „CubeSpace CW0057 Reaction Wheel“ vom 2. Juli 2026 und der offizielle CISA-Advisory-Feed, der den Eintrag mit Datum und Kurzbeschreibung ausliefert. Satire: ja. Fernangriff: laut CISA nein. Schraubenzieherromantik: leider weiterhin im Sortiment.