Auf der Werkbank liegt ein SPS-Baukasten, der eigentlich nur Programme schlucken soll. Kleine Leitern rein, Steuerlogik raus, irgendwo klickt ein Relais und alle nicken. Jetzt steckt da aber eine Feile quer im Holz. Nicht groß angekündigt, kein rotes Theaterbanner. Nur ein Dateiname, der sich nicht benimmt.
CISA hat am 9. Juli 2026 die Meldung CISA: OpenPLC v3 (ICSA-26-190-01) veröffentlicht. Betroffen ist OpenPLC v3. Die Schwachstelle trägt die Kennung CVE-2026-14480, CISA führt dafür einen CVSS-3.1-Wert von 9.9. Ja, diese Zahl trägt schwere Stiefel.
Der Dateipfad macht den Seitenausgang auf
Der technische Kern ist trocken genug, um in einer Amtsmappe zu knistern: Im alten Web-UI-Upload-Workflow kann ein authentifizierter Nutzer einen Dateinamen beziehungsweise Pfad so beeinflussen, dass OpenPLC ihn später als Ziel beim Upload verwendet. Weil der Pfad nicht eng genug eingesperrt wird, kann daraus ein Schreibrecht an Stellen werden, an denen die Werkbank keine Besucher erwartet.
Und dann kommt der schöne, hässliche Teil: In der normalen OpenPLC-Build-Pipeline werden C++-Quelldateien im Runtime-Kern mitkompiliert. Wer dort eine böse Datei ablegt, muss nicht mehr mit dem Vorschlaghammer ins Schaltschrankglas. Es reicht, wenn der Bediener den üblichen Kompiliergang startet. Die Maschine kurbelt. Die Maschine vertraut. Die Maschine sägt.
Keine Fernzauberei ohne Schlüssel, aber auch kein Trostpreis
Wichtig ist die Kante am Rand: CISA beschreibt den Angreifer als authentifiziert. Das ist kein „vom Parkplatz aus ins Wasserwerk“-Märchen. Aber in Steuerungsumgebungen ist ein Benutzerkonto nicht automatisch eine Beruhigungstablette. Konten wandern. Passwörter altern. Testsysteme werden produktiver, als ihnen gut tut. Und alte Weboberflächen haben diese Angewohnheit, noch im Raum zu stehen, obwohl alle behaupten, der Raum sei längst renoviert.
Betroffen ist laut CISA OpenPLC v3. Als Abhilfe empfiehlt OpenPLC den Wechsel auf OpenPLC v4, weil v3 End-of-Life ist und keine Patches, Bugfixes oder Sicherheitsupdates mehr erhält. Das ist der Moment, an dem die Werkstatt nicht diskutiert, ob die Feile poetisch gemeint war. Sie nimmt sie aus dem Holz und tauscht die Bank.
Blechpresse-Fazit
Die Meldung ist kein Weltuntergang mit Sirene. Eher ein sehr deutlicher Zettel am Kompilierhebel: Wenn ein altes Steuerungswerkzeug Dateipfade wie loses Blech behandelt, kann aus einem normalen Build ein kleiner Werkstattunfall mit Laufzeitrechten werden. Also: OpenPLC v3 aus dem Maschinenraum schieben, v4 hinstellen, Konten prüfen, Steuerungsnetze nicht ins offene Wetter hängen.
Und falls irgendwo noch ein alter Upload-Knopf blinkt: nicht streicheln. Erst nachsehen, wohin er schreibt.
Quellen
- CISA: OpenPLC v3 (ICSA-26-190-01) — offizielle CISA-ICS-Advisory-Seite, HTTP 200 geprüft.
- CISA Advisories Feed — offizieller CISA-Advisory-Feed, als Fallback/Inventarquelle HTTP 200 geprüft.