Im Leitstand hängt ein Fragezeichen im Rohr. Nicht poetisch, leider. Eher so: irgendwo zwischen Energiemanagement, Webserver-Zauberei und der Sorte Konfiguration, bei der ein einzelnes Zeichen plötzlich wirkt wie eine Schraube im Walzwerk.
Die aktuelle CISA-Meldung zu Hitachi Energy e-mesh EMS trägt den trockenen Namen CVE-2026-42945. Darunter liegt eine Heap-basierte Buffer-Overflow-Schwachstelle in NGINX-Komponenten, wie sie in e-mesh EMS verbaut sind. Betroffen nennt CISA die Versionen 4.1.6, 4.4.2 und 4.7.0. Das klingt erst nach Ersatzteilliste, bis die Maschine beim Wort „Overflow“ anfängt, Kleinteile in die Auffangwanne zu spucken.
Das Fragezeichen ist keine Deko
Der Kern ist hübsch hässlich: Laut CISA steckt die Schwachstelle im ngx_http_rewrite_module, wenn Rewrite-Regeln mit unbenannten PCRE-Captures und einem Fragezeichen als Ersatzmanöver zusammenkommen. Also genau diese Art von „nur kurz die Leitung umlegen“, bei der im Serverraum niemand klatscht, sondern alle erstmal gucken, ob noch Strom auf der Kaffeemaschine ist.
Die mögliche Folge beschreibt CISA nüchtern: Anwendungsausfälle, also Denial of Service, und möglicherweise beliebige Codeausführung. Netzwerkseitig erreichbar, aber mit hoher Angriffskomplexität. Kein Hollywood-Hacker, der mit Sonnenbrille auf das Kraftwerk niest. Eher ein sehr spezieller Griff in eine sehr spezielle Rohrpost, bei der trotzdem niemand möchte, dass sie im Energieleitstand offen herumliegt.
Hotfix, ASLR, Ubuntu — die kleine Wartungsprozession
Hitachi Energy empfiehlt laut CISA Hotfixes für die betroffenen e-mesh-EMS-Versionen, damit NGINX auf Version 1.30.2 oder neuer gehoben wird. Außerdem soll die Rewrite-Konfiguration kein Fragezeichen zum Ersetzen unbenannter Captures verwenden, und ASLR soll aktiv sein. Da steht sie also, die moderne Sicherheitsarbeit: ein Hotfix, ein Schalter, ein Fragezeichen weniger. Große Oper, gespielt auf einem Schraubendreher.
Ein zweiter, sehr irdischer Punkt knirscht darunter: CISA weist darauf hin, dass Ubuntu Server 20.04 LTS am Lebensende ist. Für e-mesh EMS 4.1.6 und 4.4.2 mit Ubuntu 20.04 LTS empfiehlt die Meldung ein Upgrade auf Ubuntu Server 22.04 oder 24.04, alternativ Ubuntu Pro/ESM als Zwischenlösung. Das ist kein Glamour. Das ist der Wartungszettel, der immer unter der Ölkanne lag.
Blechpresse-Fazit
Der Fall ist ein schönes, rostiges Beispiel dafür, dass kritische Infrastruktur nicht nur an großen Konzepten hängt, sondern an Modulen, Regeln, Versionen und Betriebssystemständen. An Dingen, die auf Folien winzig aussehen und im Maschinenraum plötzlich groß werden. Ein Fragezeichen, falsch im Rohr, und schon schreibt die Presse nicht mehr Zeitung, sondern Schadensmeldung.
Wer e-mesh EMS betreibt, sollte nicht auf die Pointe warten, sondern die Herstellermaßnahmen prüfen. Die Blechpresse stellt derweil den roten Warnblinker wieder gerade. Er blinkt schief. Aber er blinkt.