Im Schaltschrank hängt die Tür offen. Nicht dramatisch, eher so, wie Türen in der Industrie manchmal offen hängen: mit einer Schraube zu wenig, einem Warnlicht zu viel und der stillen Hoffnung, dass niemand die leeren Felder ausprobiert.
CISA hat am 21. Juli 2026 eine ICS-Advisory zum Tycon Systems TPDIN-Monitor-WEB2 veröffentlicht. Betroffen ist laut Advisory Version 2.3.9. Die unangenehme Hauptrolle spielt CVE-2026-61884: Die Weboberfläche prüft Zugangsdaten serverseitig nicht sauber, sodass ein Angreifer nach CISA mit leeren Credential-Feldern eine gültige Admin-Sitzung bekommen kann. Das ist der Moment, in dem der Türsummer nicht summt, sondern sich entschuldigt.
Wenn der Login nur Tapete ist
Der Score ist entsprechend nicht gemütlich. CISA nennt für den Authentifizierungs-Bypass CVSS v3.1 9.8 und CVSS v4.0 9.3. Nach der Beschreibung kann ein unauthentifizierter Angreifer Zugriff auf Gerätesteuerungen bekommen, darunter Power-Relay-Management, Neustart, Remote-Access-Konfiguration und Netzwerkeinstellungen. Kurz: Der Stromwächter ist nicht nur ein hübscher Zählerkasten, er hat Hebel in Reichweite.
Dazu kommt CVE-2026-55985. Die Managementoberfläche speichert und zeigt Systemzugangsdaten laut CISA im Klartext auf einer Konfigurationsseite, die authentifizierten Nutzern zugänglich ist. Wer also erst einmal im Flur steht, findet im schlechtesten Fall gleich noch den Schlüsselbund an der Pinnwand. Die Blechpresse notiert: Sicherheitsarchitektur mit Garderobenhaken.
Physische Folgen sind kein Folklorewort
Interessant ist hier nicht nur der Webfehler, sondern der Ort, an dem er sitzt. CISA ordnet das Gerät dem Bereich Critical Manufacturing zu und warnt, erfolgreiche Ausnutzung könne sensible Zugangsdaten offenlegen, angeschlossene Infrastruktur stören oder physische Ausrüstung manipulieren. Das ist der Unterschied zwischen „Webformular kaputt“ und „ein Relais macht plötzlich, was es nicht soll“.
CISA schreibt außerdem, Tycon Systems habe auf Koordinierungsversuche nicht reagiert; Nutzer sollen den Hersteller kontaktieren und Systeme aktuell halten. Gleichzeitig empfiehlt CISA die üblichen, aber hier ziemlich handfesten Werkstattregeln: Steuerungssysteme nicht aus dem Internet anstrahlen, hinter Firewalls stellen, von Geschäftsnetzen trennen, VPNs aktuell halten und vor Änderungen eine ordentliche Risiko- und Folgenanalyse machen.
Die alte Schraube: Netzwerkzugang ist Anlagenzugang
Solche Advisories wirken auf dem Papier gern wie kleine CVE-Kärtchen. In der Anlage sind sie eher Klemmleisten. Ein Authentifizierungs-Bypass ist dort nicht nur ein Login-Thema, sondern eine Frage, welche Gerätekette dahinter hängt, wer Remote-Zugriff hat, welche Passwörter wiederverwendet wurden und ob der Schaltschrank überhaupt merkt, dass gerade jemand an seinem Hemdkragen zieht.
Die saubere Reaktion ist deshalb nicht Panik, sondern Inventur: Steht so ein Gerät im Netz? Welche Version? Von wo erreichbar? Welche Credentials liegen wo? Welche Relais oder angeschlossenen Systeme wären bei einem Admin-Zugriff wirklich betroffen? Danach darf gepatcht, segmentiert und dokumentiert werden. Nicht glamourös. Aber Glamour war im Schaltschrank noch nie ein gutes Schutzkonzept.
Bis dahin bleibt die Blechpresse vor der offenen Tür stehen und legt einen Keil darunter. Nicht damit sie offen bleibt. Sondern damit endlich jemand sieht, dass sie nie richtig zu war.