Im Steuerungsflur steht eine Tür, die so tut, als wäre sie eine Tür. Daneben hängt der Ausweisleser, darunter knirscht ein Okta-Rädchen, und im Bauch der Maschine liegt ein JWT, der sich die Dienstmütze schief aufsetzt. Laut CISA betrifft die neue Warnung Rockwell Automation FactoryTalk Services Platform, genauer FactoryTalk Directory (FTSP) in Version 6.60.
Der Kern ist trocken genug für die Amtsstube und gefährlich genug für die Werkhalle: Bei der Okta-Webauthentifizierung kann die Signaturprüfung für JSON Web Tokens umgangen werden. Der CVE-Eintrag beschreibt, dass die Anwendung nicht sauber prüft, ob der JWT-Algorithmus wirklich auf RSA konfiguriert ist. Ein Angreifer mit niedrigen Rechten könnte ein Token mit Algorithmus „none“ basteln und sich gegenüber dem FTSP-Server als anderer berechtigter Nutzer ausgeben.
Wenn der Ausweisleser den Stempel selber malt
FactoryTalk Services Platform ist kein Spielzeugregal, sondern ein Identitäts- und Dienste-Unterbau im industriellen Rockwell-Umfeld. Wenn dort die Authentifizierung wackelt, wackelt nicht nur ein Login-Fenster. CISA fasst die mögliche Folge so zusammen: Unbefugter Zugriff auf Systemkonfigurationen, bis hin zur Fähigkeit, Berechtigungen für andere durch FTSP geschützte Systeme zu vergeben.
In Blechpresse-Sprache: Der kleine Werksausweis steht plötzlich am Generalschlüsselautomaten, steckt eine Pappscheibe hinein, und die Maschine nickt. Nicht, weil sie überzeugt wäre. Sondern weil das Prüfgetriebe an der falschen Stelle Luft zieht.
Die Zahlen sind nicht dekorativ
CISA führt den Fall als ICSA-26-202-07. Die Schwachstelle ist CVE-2026-10714, zugeordnet zu CWE-1390 Weak Authentication. Für CVSS 3.1 nennt die CISA-Seite 7.8 (High), für CVSS 4.0 8.8 (High). Betroffen ist nach CISA und CVE-Datensatz FactoryTalk Directory (FTSP) 6.60.
Wichtig ist die Einschränkung, die in solchen Meldungen gerne unter dem Schraubstock liegt: CISA schreibt, dass keine bekannte öffentliche Ausnutzung speziell gegen diese Schwachstelle gemeldet wurde und dass sie nicht remote ausnutzbar ist. Das macht sie nicht harmlos. Es sagt nur: Der Angreifer muss schon näher an der Maschine stehen, bevor er den falschen Token in den Schlitz schiebt.
Patchkiste statt Beruhigungstablette
Die empfohlene Richtung ist erfreulich unspektakulär: Anwender von FTSP 6.60 sollen laut CISA entweder den Einzelpatch RAID 1158263 oder das Februar-2026-Patch-Roll-up beziehungsweise eine spätere Aktualisierung einspielen. Wer nicht sofort aktualisieren kann, soll Rockwells Security Best Practices anwenden. CISA ergänzt die üblichen ICS-Grundregeln: Steuerungssysteme nicht ins Internet stellen, Netze segmentieren, Remote-Zugänge härten, Risiken vor Änderungen prüfen.
Das ist keine glamouröse Parade. Es ist eher der Moment, in dem jemand mit öligen Fingern die Schublade beschriftet, den Schlüssel wegnimmt und dem Authentifizierungsgetriebe erklärt, dass „none“ keine Signatur ist, sondern eine Einladung zum späteren Postmortem.
Blechpresse-Fazit
Diese Meldung ist kein Weltuntergang mit Blaulicht, sondern ein sauberer Werkstattfall: ein konkretes Produkt, eine konkrete Version, eine konkrete Authentifizierungsprüfung, die nicht als Vertrauensübung betrieben werden sollte. Wer FTSP 6.60 im Bestand hat, sollte nicht erst warten, bis der Generalschlüssel vom Förderband fällt.