Im Schaltschrank steht heute ein Husten, der nicht nach Staub klingt, sondern nach EtherNet/IP. Drei Kommunikationsmodule schauen aus dem Rack, diese grauen Industrie-Karten mit der Miene von Geräten, die seit Jahren nur zwei Gefühle kennen: Link an, Link aus. Und dann kommt so ein Paketklotz angerollt.
Die Meldung dazu ist kein Feuerwerk, eher ein sehr unangenehmes Klack im Produktionsnetz: CISA hat am 16. Juli 2026 die Advisory ICSA-26-197-02 zu Rockwell Automation 1756-EN2, 1756-EN3 und 1756-ENBT veröffentlicht. Es geht um CVE-2026-9653: falsch geprüfte CIP-Implicit-Connection-Pakete können Verbindungen der Module fortlaufend stören. Nicht Datenklau mit schwarzem Kapuzenpulli, sondern Verfügbarkeit: die Anlage hustet, die Verbindung fällt, erholt sich, fällt wieder. Ein kleiner Maschinen-Schluckauf mit hoher Werkshallenwirkung.
Die Paketwalze drückt nicht auf Geheimnisse, sondern auf Takt
Betroffen nennt CISA 1756-EN3 bis einschließlich V12.001, 1756-EN2 bis einschließlich V12.001 und 1756-ENBT in Version V6.006. Die Schwachstelle wird als CWE-354, Improper Validation of Integrity Check Value, geführt. Übersetzt ins Blechpressendeutsche: Die Maschine schaut beim Paket nicht gründlich genug auf den Prüfstempel, und jemand im Netz kann ihr so lange schiefe Verbindungsklötze zuschieben, bis die Gerätekontakte beleidigt blinken.
Der CVSS-Wert liegt laut CISA bei 7.5 nach Version 3.1 und 8.7 nach Version 4.0. Das klingt schwer, und ja, Verfügbarkeit in Industrieumgebungen ist kein dekorativer Beifang. Trotzdem muss man das Blech sauber lesen: CISA beschreibt keine öffentliche Ausnutzung, keine Exfiltration und keine Magie aus dem Weltraum. Der Angreifer sitzt im Netzwerkpfad. Genau dort, wo Segmentierung, Firewalls und langweilige Betriebsdisziplin normalerweise ihren Kaffee trinken sollten.
Zwei Karten bekommen neue Schuhe, eine steht am Ersatzteiltisch
Rockwell empfiehlt laut CISA Updates auf V12.002 für 1756-EN3 und 1756-EN2. Beim 1756-ENBT ist die Lage weniger elegant: Das Produkt ist abgekündigt, ein Fix wird in der Advisory nicht angeboten. Das ist dieser Moment im Maschinenraum, in dem ein altes Modul auf dem Wagen liegt, der Monteur den Schraubenschlüssel dreht und die Beschaffung so tut, als sei „Legacy“ ein Naturgesetz und keine Rechnung mit sehr langer Zahlungsfrist.
Für Betreiber heißt das nicht: alle roten Lampen an und hektisch im Schaltschrank herumwedeln. Es heißt: Bestandsliste anfassen, Firmwarestände prüfen, alte ENBT-Stellen ernst nehmen, Netzexposition reduzieren, Steuerungsnetze von Büronetz und Internet trennen, Remote-Zugänge nicht wie lose Kabel über den Hof werfen. CISA wiederholt genau diese Hausmannskost: minimale Exposition, Firewalls, getrennte Netze, sichere und aktuelle VPNs, Risikoanalyse vor Abwehrmaßnahmen. Langweilig? Ja. Wirksam? Eben.
Die eigentliche Pointe ist wieder nicht die Pointe
Solche Advisories wirken gern kleiner als sie sind, weil kein spektakulärer Datentresor aufspringt. Aber Produktionsnetze leben vom Takt. Wenn eine Kommunikationskarte durch manipulierte Pakete dauernd aus dem Rhythmus gebracht werden kann, muss niemand Hollywood buchen; die Störung schreibt ihre eigene Schichtnotiz.
Die Blechpresse notiert deshalb: nicht jeder DoS-Befund ist ein Weltuntergang, aber jeder ungepflegte Schaltschrank hat ein Gedächtnis. Und manchmal erinnert er sich genau dann, wenn die Linie laufen soll.