Der Schaltschrank macht dieses Geräusch, das nur alte Automatisierungstechnik kann: halb Lüfter, halb Vorwurf. Und irgendwo im Bauch des Online-Builders steht eine Kiste, die da nicht stehen sollte. Keine große Explosion, kein Hollywood-Funkenregen. Eher so: ein Wartungsgang, ein falscher Suchpfad, ein Stück Software mit der Körperhaltung eines offenen Seitentors.
Die US-Behörde CISA hat am 14. Juli 2026 ein Advisory zu ABB Advant Master Online Builder veröffentlicht. Der Name klingt nach Industriemuseum mit Laptopanschluss, aber die Sache ist ziemlich gegenwärtig: CVE-2025-13162 beschreibt ein Problem beim Laden von DLLs. Die Anwendung behandelt den Suchpfad nicht sauber genug; wer den nötigen Zugriff auf das System hat, kann dadurch eine nicht vertrauenswürdige Bibliothek in die Nähe der Maschine schieben. Und Maschinen, die aus der falschen Kiste greifen, sind selten philosophisch dabei.
Die falsche Kiste im richtigen Flur
Betroffen sind laut CISA und ABB unter anderem Control Builder A bis einschließlich 1.4/4 sowie mehrere Stände von 800xA for Advant Master: bis 6.0.3-1, bis 6.1.1-1, außerdem 6.1.1-3 und 6.2.0-1. Das ist keine Fernzauberei aus dem Internetnebel. Der Angreifer braucht Zugriff auf das System. Aber genau darin liegt ja die alte Werkstatt-Pointe: In Industrieumgebungen ist „lokal“ manchmal kein einzelner Stuhl vor einem Monitor, sondern ein ganzer Wartungsprozess mit Laptops, USB-Geräten, temporären Anschlüssen und Menschen, die eigentlich nur kurz etwas einspielen wollten.
ABB beschreibt, dass eine falsche Version des Online Builders in Medien enthalten war und eine Aktualisierung bereitsteht. Version 6.1.1-2 sei nicht betroffen; 6.1.1-3 brachte das Problem wieder mit, 6.1.1-4 wurde zurückgezogen, und die korrigierten Stände sollen den Seiteneingang wieder schließen. Das ist der Moment, in dem die Blechpresse den Schraubenschlüssel hebt und nicht schimpft, nur schaut. Dieses Schauen ist schlimmer.
Kein Weltuntergang, aber ein sehr realer Wartungsgang
CISA nennt als Wirkung mögliche unautorisierte Codeausführung und Gefährdung der Systemintegrität. Der Satz ist trocken genug, um ihn als Unterlegscheibe zu verwenden. In der Praxis heißt er: Wer mit den passenden Rechten oder dem passenden Zugang nahe genug an den betroffenen Knoten kommt, könnte eine Bibliothek unterschieben und die Anlage dazu bringen, mehr Vertrauen zu verteilen, als im Pflichtenheft vorgesehen war.
Die empfohlenen Gegenmaßnahmen sind entsprechend unromantisch: auf korrigierte Versionen aktualisieren, Zugänge streng verwalten, nur autorisierte Nutzer zulassen, starke und regelmäßig geänderte Passwörter erzwingen und temporäre Verbindungen über tragbare Rechner, USB-Speicher oder andere Datenträger begrenzen. Kurz gesagt: Der Seitentisch neben der Maschine ist kein Marktplatz. Auch wenn er so aussieht.
Bekannte aktive Ausnutzung meldet CISA in diesem Advisory nicht. Das ist gut. Es ist aber kein Freifahrtschein, sondern eher der gelbe Zettel an der Werkbank: Jetzt sortieren, bevor jemand später fragt, warum die fremde Kiste überhaupt am Band stand.