In der Fabrikpresse gibt es Schienen. Ordner links, Systemschrank rechts, dazwischen eine Linie, die nicht zum Spaß auf den Boden gemalt wurde. Und dann kommt eine Datei, hebt höflich den Hut und schreibt trotzdem neben die Linie.
CISA hat am 23. Juli 2026 die Industrial-Control-Advisory ICSA-26-204-05 zu Rockwell Automation ThinManager veröffentlicht beziehungsweise als Rockwell-Hinweis republiziert. Der Kern klingt trocken, ist aber schweres Blech: CVE-2026-11917 ist eine Path-Traversal-Schwachstelle bei Dateispeichervorgängen in der API. Ein bereits authentifizierter Angreifer könnte dadurch Dateien in eingeschränkte Systemverzeichnisse außerhalb des eigentlich vorgesehenen Anwendungsbereichs schreiben.
Der Angreifer ist schon drin — und hat einen Ablagewagen
Das ist kein Hollywood-Einbruch durchs Hallendach. CISA beschreibt die Ausnutzung als authentifiziert: Jemand braucht also bereits Zugang. Genau darin steckt der Werkstattgeruch. Viele Sicherheitsmodelle behandeln „eingeloggt“ gern wie „halbwegs brav“. Nur hat ein eingeloggter Bediener mit falschem Pfad plötzlich keinen Kugelschreiber mehr, sondern eine kleine Stanzmaschine.
ThinManager wird in Industrieumgebungen genutzt; CISA nennt unter anderem Chemie, kritische Fertigung, Energie, Lebensmittel und Wasser/Abwasser als betroffene Sektoren. Weltweit im Einsatz, amerikanischer Hersteller, CVSS v3.1 bei 8.1 High, CVSS v4.0 bei 7.2 High. Die Maschine blinkt also nicht dekorativ, sie will gewartet werden.
Betroffen ist nicht „irgendwas alt im Keller“
Die Advisory listet betroffene ThinManager-Zweige: 13.0.0 bis vor 13.0.7, 13.1.0 bis vor 13.1.5, 13.2.0 bis vor 13.2.4 und 14.0.0 bis vor 14.0.2. Als korrigierte Versionen nennt CISA die Upgrade-Ziele 13.0.8, 13.1.6, 13.2.5 und 14.0.3. Wer nicht upgraden kann, soll laut Hinweis Rockwells Security Best Practices heranziehen.
Man kann das als Tabellenarbeit abtun. Oder man betrachtet es wie eine Ablagepresse in der Fertigung: Wenn die Führungsschiene falsch begrenzt ist, landet das Fach nicht dort, wo es soll. In der IT heißt das Pfadbeschränkung. In der Werkstatt heißt es: Die Schublade hat ein Loch zur falschen Seite.
CISA meldet keine bekannte öffentliche Ausnutzung
Wichtig, ohne Alarmhupe im Dauerbetrieb: CISA schreibt, dass derzeit keine bekannte öffentliche Ausnutzung speziell gegen diese Schwachstelle gemeldet wurde. Das ist Entwarnung im Sinne von „kein Rauch aus dem Fenster“, nicht im Sinne von „die Kabel liegen absichtlich im Wasser“. Die empfohlenen ICS-Grundregeln bleiben alt und brauchbar: Kontrollsysteme nicht offen ins Internet stellen, Netze trennen, Firewalls nutzen, Remote-Zugänge härten und Risikoanalyse vor Änderungen durchführen.
Die Blechpresse notiert: Authentifizierung ist kein Zaun, wenn hinter dem Zaun die Pfade seitlich ausfransen. Also Version prüfen, Updatepfad planen, Fernzugriffe abklopfen — und beim nächsten Dateispeichern kurz hinhören, ob es irgendwo rechts im Systemschrank scheppert.