Im Schaltschrank ist es still, wie Schaltschrankstillsein eben klingt: ein bisschen Stromgeruch, ein bisschen Staub, ein rotes Lämpchen mit Dienstmiene. Dann fällt aus dem Firmwarefach ein Schlüssel. Nicht metaphorisch genug, leider. Eher so: Zugangsdaten liegen dort, wo man sie bei industrieller Fernwirktechnik wirklich nicht als Dekoration haben möchte.
Die US-Behörde CISA hat am 30. Juni 2026 eine Meldung zu Schneider Electric EasyLogic T150 und Saitel DP RTU veröffentlicht. Betroffen sind nach CISA mehrere Versionen der Remote Terminal Units; die Lücken laufen unter CVE-2026-9650 und CVE-2026-9651. Der CVSS-v3-Wert steht bei 7,5. Das ist nicht Weltuntergang mit Sirene, aber auch kein loses Etikett am Sicherungskasten.
Der Schlüssel liegt im Gerät und tut unschuldig
Der Kern ist unangenehm handwerklich: CISA beschreibt unzureichend geschützte Zugangsdaten in Firmware oder Systemdateien. Ein unauthentifizierter Angreifer kann diese Informationen auslesen; mit den Zugangsdaten wäre anschließend eine Kompromittierung möglich, wenn physischer Zugriff auf das Gerät besteht. Also keine Fernzauberei durch den Äther, sondern eher: jemand steht am Kasten, klappt etwas auf, und die Maschine hat ihre Schlüssel zu nah an die Tür gehängt.
Betroffen sind laut CISA EasyLogic T150 beziehungsweise Saitel-DR-Controller bis einschließlich 11.06.30 für CVE-2026-9650 und bis 11.06.31 für CVE-2026-9651. Beim Saitel DP nennt CISA Versionen bis 11.06.35 beziehungsweise 11.06.37. Kritische Fertigung und Energieversorgung stehen als Einsatzbereiche im Raum; weltweit verteilt, französischer Hersteller, sehr viel echtes Blech mit sehr wenig Lust auf poetische Ausreden.
Physischer Zugriff ist kein Trostpflaster
„Braucht physischen Zugriff“ klingt im Büro gern wie ein Beruhigungstee. In der Industrie ist es manchmal eher der Zettel am Gartentor: Bitte nur eintreten, wenn man schon drin ist. Fernwirkgeräte hängen nicht in Märchenschlössern, sondern in Schränken, Außenstationen, Werksbereichen, Energieanlagen, irgendwo zwischen Wartungsschlüssel, Fremdfirma, Zeitdruck und einem Kabel, das seit 2009 niemand mehr mit Namen anspricht.
CISA meldet außerdem eine zweite Schwachstelle: fehlerhafte Berechtigungen für eine kritische Ressource. Auch hier geht es um Zugriff auf sensible Informationen; die Schwere ist niedriger, aber die Richtung bleibt dieselbe. Der Kasten ist nicht böse. Er ist nur zu gesprächig, wenn die falsche Hand an der falschen Abdeckung zieht.
Was CISA empfiehlt, klingt langweilig. Deshalb ist es wichtig.
Die empfohlenen Gegenmittel sind die üblichen, und gerade darum sind sie kein Schmuck: betroffene Geräte aktualisieren, Steuerungsnetze nicht ins offene Internet hängen, Control-Systeme hinter Firewalls halten, von Büronetzen trennen, Fernzugriff nur kontrolliert und mit gepflegten VPNs betreiben. Vor Änderungen soll man Wirkung und Risiko prüfen. Ja, das ist trocken. Aber trockene Sicherungen brennen seltener.
CISA schreibt zudem, dass ihr derzeit keine bekannte öffentliche Ausnutzung speziell gegen diese Schwachstellen gemeldet wurde. Das ist gut. Es ist aber nicht dasselbe wie Entwarnung. Es heißt nur: Noch hat niemand den Schraubenschlüssel offiziell auf den Tresen gelegt und „gefunden“ gerufen.
Die Blechpresse notiert: Wenn Firmware zum Schlüsselbund wird, ist die beste Sicherheit nicht das schönste Dashboard, sondern ein sehr unromantischer Mix aus Patchstand, Schrankkontrolle, Netztrennung und der Frage, wer eigentlich nachts Zugang zu dieser grauen Kiste hat. Manchmal beginnt Cybersicherheit mit einem Schloss, das nicht nur so tut.