Der Schlüssel steckt schon. Nicht vorne am Tor, nicht im Internet mit Sturmhaube und Donnerblech, sondern seitlich am Steuerungs-Schacht, dort wo die Werkbank immer behauptet, sie sei nur eine Werkbank. Genau da wird es unangenehm.
CISA hat für die AutomationDirect Productivity Suite eine ICS-Meldung veröffentlicht. Betroffen sind laut Advisory Versionen bis einschließlich 4.6.2.2. Sechs CVEs liegen in der Schublade: CVE-2026-60063, CVE-2026-61389, CVE-2026-60140, CVE-2026-57896, CVE-2026-60073 und CVE-2026-61378. Das ist kein schönes kleines Namensschild, eher ein Schraubenkasten, der beim Öffnen zurückbeißt.
Lokaler Krach, nicht Fernseh-Hackernebel
Wichtig ist die Richtung: CISA schreibt ausdrücklich, dass diese Schwachstellen nicht remote ausnutzbar sind; außerdem sei keine bekannte öffentliche Ausnutzung speziell gegen diese Lücken gemeldet. Also kein globales Sirenentheater. Eher der alte Industriewitz: Wer an der Engineering-Station steht oder jemanden zum Öffnen der falschen Datei bewegt, kann der Maschine Dinge zeigen, die sie besser nicht verdauen sollte.
Die Formen sind trotzdem handfest: Out-of-bounds Write, Out-of-bounds Read, Divide by Zero. Übersetzt in Presswerkdeutsch: Der Speicher bekommt den Ellenbogen in die Rippen, ein Fach lässt zu viel sehen, und irgendwo teilt ein Zahnrad durch nichts und ist dann beleidigt. CISA nennt als mögliche Folgen Informationsabfluss, Instabilität oder Denial of Service; bei einem der Fälle ist auch von Kernel-Speicher-Korruption über eine präparierte IOCTL-Anfrage die Rede. Das ist kein Konfetti, das ist Öl auf dem Beton.
Der Patch liegt nicht im Aktenschrank
AutomationDirect empfiehlt laut CISA das Update auf Version 4.7.0.47 oder neuer. Wer das nicht sofort drehen kann, soll die üblichen OT-Sicherheitsgurte enger ziehen: Systeme nicht offen ins Internet hängen, Netzgrenzen ernst nehmen, Fernzugriff absichern, Social-Engineering-Tricks nicht als romantische E-Mail-Folklore behandeln. Ja, das klingt nach der alten Predigt. Sie ist alt, weil sie immer noch jemand braucht.
Für Betreiber heißt das: nicht in Panik den Schaltschrank anbrüllen. Inventar prüfen, Engineering-Stationen ansehen, Update-Fenster planen, Projektdateien und lokale Zugriffe nicht wie lose Schrauben im Pausenraum liegen lassen. Der lokale Schlüssel ist klein. Aber wenn er im falschen Schacht steckt, macht die ganze Steuerung plötzlich dieses Geräusch, bei dem erfahrene Leute sehr ruhig werden.
Die Blechpresse notiert: Manchmal kommt die Gefahr nicht als roter Laser aus dem Netz. Manchmal trägt sie Arbeitshandschuhe, steht neben dem Programmierplatz und sagt: „Ich öffne nur kurz diese Datei.“ Dann klackt es. Ach, eigentlich klackt es nicht. Es knirscht.
Quellen, nicht Schmierzettel
Die Fakten kommen aus der CISA-Meldung ICSA-26-197-04 zu AutomationDirect Productivity Suite. Den Update-Weg verweist CISA auf die offizielle AutomationDirect-Downloadseite.