Im CAD-Keller steht eine Zeichenmaschine, die eigentlich Linien ziehen soll. Heute zieht sie Gesichter. Zwischen Plotterwalze, PDF-Gebiss und zlib-Kolben steckt Siemens CADRA in einer dieser Meldungen, bei denen man kurz auf den Kalender schaut und dann auf die Versionsnummer.
CISA hat die Siemens-Meldung ICSA-26-202-06 zu CADRA erneut auf den Tisch der industriellen Kleinmetallverarbeitung gelegt. Der Kern: CADRA ist von mehreren Schwachstellen in zlib und Foxit betroffen. Siemens empfiehlt für betroffene Installationen ein Update auf V2511 oder neuer, wo die Fixes greifen. Für einige Punkte nennt Siemens zusätzlich Gegenmaßnahmen oder noch keinen verfügbaren Fix. Kurz: Die Konstruktion mag sauber gezeichnet sein, aber die Bibliotheken darunter haben Rost an Stellen, die im Handbuch meistens freundlich übermalt werden.
Die Bibliothek im Blaumann
Besonders blechern ist der Altersmix. In der CVE-Liste stehen nicht nur frische Schrauben wie CVE-2026-22184, sondern auch alte Bekannte aus der zlib-Kiste: CVE-2005-2096, CVE-2016-9840, CVE-2016-9841, CVE-2016-9842, CVE-2017-14919, CVE-2018-25032, CVE-2022-37434 und CVE-2023-45853. Dazu kommen Foxit-Themen wie CVE-2025-10585 und CVE-2025-13223. Das ist keine einzelne lose Mutter mehr, das ist ein Kleinteilesortiment mit Erinnerungsfunktion.
Die schwereren Einträge reichen in den kritischen Bereich: Laut CSAF-Daten liegen mehrere CVSS-3.x-Basiswerte hoch bis kritisch, darunter 9,8 bei einzelnen zlib-Funden. Wer jetzt denkt, CAD-Dateien seien doch nur digitale Zeichenbretter, hat vermutlich noch nie gesehen, wie viel Fertigung, Planung und Betrieb an einem scheinbar stillen Dateiformat hängen kann. Papier ist geduldig. Parser sind es nicht.
Update, Abschottung, nicht romantisieren
Für CADRA < V2511 nennt die CSAF-Struktur ein Update auf V2511 oder später. Für CADRA allgemein stehen bei den Foxit-bezogenen Punkten Mitigations wie das Blockieren von Zugriffen auf nicht vertrauenswürdige oder externe Webinhalte aus sensiblen Systemen. Bei CVE-2026-22184 ist laut CSAF derzeit kein Fix verfügbar. Das ist der Moment, in dem der Werkstattleiter nicht „wird schon“ sagt, sondern Netzwerkwege, Dateiquellen und Updatefenster prüft.
Die Blechpresse empfiehlt keine Panik mit Blaulicht, aber auch keinen Museumsbetrieb mit WLAN. CADRA-Installationen gehören inventarisiert: Version prüfen, V2511-Pfad klären, externe oder untrusted Datei- und Webinhalte aus sensiblen Umgebungen fernhalten, und die üblichen ICS-Schutzgeländer nicht erst aus dem Keller holen, wenn der Plotter schon Rauchzeichen malt.
Warum das knirscht
Solche Meldungen sind unangenehm, weil sie nicht nach großer Hollywood-Sicherheitslücke aussehen. Kein blinkender Superbösewicht. Eher ein altes Archivrad, das seit Jahren brav mitläuft und plötzlich merkt jemand: Dieses Rad hat Zähne, und einige davon beißen falsch. In Industrieumgebungen ist genau das der Alltag. Nicht der eine Weltuntergang, sondern die lange Reihe kleiner Bibliotheken, die am Ende eine Maschine bewegen.
Also: Patchplan auf den Tisch, Abhängigkeiten nicht wegwinken, CAD-Arbeitsplätze nicht als harmlosen Zeichenblock behandeln. Die Konstruktionspresse hat heute nicht gebrüllt. Sie hat nur metallisch geknackt. Man sollte trotzdem hinschauen.