Im Umspannwerk liegt die Sprache nicht in Sätzen herum. Sie kommt als Telegramm, als Schaltzustand, als Schutzmeldung, als kleines digitales „Achtung, gleich knallt es vielleicht“. Normalerweise nickt die Technik dann kurz und arbeitet weiter. Diesmal klemmt der Puffer.
CISA hat am 23. Juli 2026 das Advisory ICSA-26-204-06 zu MZ Automation libIEC61850 veröffentlicht. Betroffen sind laut CISA Versionen von libIEC61850 von v1.0.0 bis einschließlich v1.6.1. Die Bibliothek gehört in jene Welt, in der IEC-61850-Kommunikation Schutztechnik, Energieanlagen und Steuerungssoftware miteinander sprechen lässt. Also genau dort, wo ein Schluckauf nicht nach Chatfenster, sondern nach Betriebszustand riecht.
Vier Schrauben im Protokollkasten
Der offizielle Kern ist unangenehm konkret: CISA nennt vier Schwachstellen, darunter Stack- und Heap-basierte Buffer Overflows sowie Parser-Probleme bis hin zur NULL-Pointer-Dereferenz. In der nüchternen Behördenfassung kann erfolgreiche Ausnutzung durch einen netzwerknahen, nicht authentifizierten Angreifer kritische IEC-61850-Dienste zum Absturz bringen oder Codeausführung ermöglichen. Schutz, Sichtbarkeit und Kontrolle können dadurch gestört oder kompromittiert werden.
Das klingt erst wie Laborlatein aus dem Kellerregal. Praktisch heißt es: Wenn die falsche Nachricht mit der richtigen Kante ankommt, kann die Software stolpern. Ein ReadRequest schiebt am Stack, eine MMS-Initiate-Anfrage knabbert am Heap, ein GOOSE-Parser stolpert über krumme TLV-Werte, und irgendwo steht ein Server da wie ein Schaltschrank nach zu viel Bürokaffee.
Netzwerknah ist nicht harmlos
CISA führt für die einzelnen CVEs hohe Bewertungen auf; bei CVE-2026-49035 nennt die Seite zusätzlich, dass Remote Code Execution demonstriert wurde, wenn ASLR deaktiviert ist. Mit aktivem ASLR bleiben laut Advisory Speicherbeschädigung oder Denial of Service im Raum. Das ist kein Weltuntergang mit Sirene, aber ein ziemlich lauter Hinweis, dass Schutznetze nicht durch fromme Hoffnung ersetzt werden sollten.
Die Blechpresse mag das Wort „netzwerknah“, weil es so klingt, als stünde der Angreifer höflich am Zaun. In Industrieumgebungen ist dieser Zaun aber manchmal ein altes Routingkonzept, ein Wartungszugang mit Nostalgie oder eine Segmentierung, die schon beim Audit müde ausgesehen hat. IEC-61850-Verkehr gehört nicht in die offene Dorfkneipe des Netzes.
Update-Schlüssel statt Prospektlack
Als Abhilfe verweist CISA auf den Herstellerhinweis: MZ Automation empfiehlt, auf den neuesten Build des libIEC61850-Standards zu aktualisieren; die Dokumentation liegt im öffentlichen GitHub-Projekt. Dazu wiederholt CISA die üblichen, aber nicht deshalb unwichtigen ICS-Grundregeln: Steuerungssysteme nicht aus dem Internet erreichbar machen, hinter Firewalls platzieren, von Geschäftsnetzen trennen und Remote-Zugänge vorsichtig behandeln.
Man kann darüber lachen, weil diese Sätze seit Jahren wie Warnschilder am Werkstor stehen. Man sollte trotzdem lesen, was darauf steht. Denn die Protokollwalze ist nicht kaputt, weil sie alt aussieht. Sie ist kaputt, wenn krumme Pakete in produktive Schutztechnik wandern und niemand mehr weiß, ob gerade ein Sicherheitsereignis, ein Softwarefehler oder die Zuständigkeit selbst raucht.