Im Kontrollraum liegt ein Netzwerkplan auf dem Tisch. Eigentlich soll er nur zeigen, wo die Kabel langlaufen. Heute aber hat er kleine Metallarme, zieht an der Schleuse und sagt: „Ich bin nur die Übersicht.“ So fängt Ärger gern an, wenn er frisch aus dem Druckwerk kommt.
CISA hat unter ICSA-26-204-04 eine ICS-Warnung zu Panduit IntraVUE veröffentlicht. Genannt wird als Hersteller in der Advisory Pronetiqs; betroffen ist IntraVUE bis einschließlich 3.2.1a14. Der grobe Satz aus dem Maschinenraum: Erfolgreiche Ausnutzung könne einem Angreifer mit Zugriff auf das IT-Netz erlauben, industrielle Steuergeräte zu manipulieren — ohne physische Nähe, Spezialwissen oder besonders feierliche Hackerrobe.
Der Netzwerkplan als falscher Türöffner
Der lauteste Bolzen ist CVE-2026-42933. CISA beschreibt hier eine unbeabsichtigte Proxy- oder Zwischenstellen-Funktion, über die ein Angreifer einen aktiven Proxy nutzen und damit OT-Segmentierung umgehen könnte. In sauberer Fachsprache: Confused Deputy. In Blechpresse-Sprache: Der Pförtner hält dem falschen Besucher die Tür auf, weil dieser eine Klemmbrettattrappe trägt.
Dazu kommen Schrauben, die einzeln schon nicht hübsch sind. CVE-2026-40430 betrifft Klartextspeicherung von Passwörtern, wodurch Zugangsdaten über die API sichtbar werden könnten. CVE-2026-50044 handelt von zu schwacher Verschlüsselung; CISA nennt unter anderem schwache Hashes und Pass-the-Hash-Szenarien für Admin-Zugangsdaten.
Asset-Liste mit offener Schublade
Auch die Übersicht selbst kann zur offenen Schublade werden. CVE-2026-44955 könne laut CISA unauthentifizierten Nutzern Asset Discovery ermöglichen. CVE-2026-28698 könne Informationen über das zugrunde liegende Host- oder Share-Dateisystem offenlegen. Das ist nicht bloß „jemand sieht ein paar Geräte“. In OT-Umgebungen ist Wissen über Geräte, Wege und Ablagen oft der erste Schraubenschlüssel im falschen Werkzeugkasten.
Die Bewertung ist entsprechend wenig dekorativ: Für den Proxy-Bypass nennt CISA CVSS v3.1 und v4.0 jeweils mit 10.0. Andere Lücken liegen niedriger, aber im Verbund sieht das aus wie eine Werkbank, auf der Passwortzettel, Netzplan, schwacher Tresor und offene Segmentierung nebeneinander liegen. Ordnung ist das nur, wenn man von weit genug weg guckt.
Patchen, segmentieren, nicht schönreden
Pronetiqs empfiehlt laut CISA das Update auf IntraVUE 3.2.1a16 oder neuer. CISA ergänzt die üblichen, hier aber sehr greifbaren Maßnahmen: Steuerungssysteme nicht aus dem Internet erreichbar machen, OT-Netze hinter Firewalls und getrennt von Business-Netzen halten, Remote-Zugriff nur über sauber gepflegte, sichere Verfahren betreiben und vor Änderungen eine Impact- und Risikoanalyse durchführen.
Bekannte öffentliche Ausnutzung speziell gegen diese Schwachstellen ist CISA nach eigener Aussage derzeit nicht gemeldet. Das ist gut. Es ist aber kein Freifahrtschein, die Schleuse weiter vom Netzwerkplan bedienen zu lassen. Denn wenn ein Monitoring-Werkzeug genug über die Fabrik weiß und gleichzeitig zu freundlich vermittelt, dann schaut es nicht nur zu. Es hält im Zweifel die Tür.