Im Umspannwerk steht eine Maschine, die eigentlich nur zuhören soll. GOOSE hier, MMS dort, ein bisschen BER-Geknister im Rohr — und plötzlich fällt nicht der Himmel herunter, sondern der Prozess auf die Werkbank.
CISA hat am 30. Juli 2026 das Advisory ICSA-26-211-10 zu MZ Automation GmbH libiec61850 veröffentlicht. Betroffen sind Versionen vor 1.6.2. Der gemeinsame Nenner der acht Schwachstellen ist angenehm trocken und deshalb gefährlich: Parser lesen an Grenzen vorbei, Prozesse beenden sich, am Ende steht eine Denial-of-Service-Bedingung. Kein Feuerwerk, eher ein stiller Schutzrelais-Schluckauf mit Stahlkappe.
Wenn die Gans als Layer-2-Paket in die Walze läuft
Mehrere Lücken sitzen im Umfeld von IEC-61850-GOOSE-Nachrichten. CISA beschreibt unter anderem fehlerhafte Prüfungen von UTC-Timestamp-Feldern, Off-by-one-Grenzen und innere Längen, die größer werden als ihr eigener Käfig. In Blechpresse-Deutsch: Die Gans kommt als Multicast-Kärtchen auf dem Prozessbus angerollt, der Parser zählt die Federn falsch, und hinten fällt der Subscriber-Prozess aus der Maschine.
Die dazugehörigen CVEs tragen die Nummern CVE-2026-66720, CVE-2026-66369 und CVE-2026-66364 im GOOSE-Umfeld. Alle laufen laut CSAF-Datei auf Out-of-bounds Reads hinaus, die den Prozess zuverlässig beenden können. Das klingt nach Speicherbuchhaltung. In einer Anlage klingt es nach: Warum antwortet das Ding nicht mehr?
MMS, BER und die alte Länge-mit-Knacks-Nummer
Auch die MMS-Schiene bekommt ihr eigenes Pressgeräusch. CISA nennt Boundary-Handling-Fehler im MMS-BER-Decoder, beim Verarbeiten bestimmter Confirmed-Request-Felder, fixer Boolean-/Integer-Längen, Extended-BER-Tags und sogar schon beim ACSE-/ISO-Presentation-Gedöns vor oder während der Verbindung. Port 102 steht dabei nicht als magische Zahl im Rampenlicht, sondern als alte Industrieleitung, durch die genug Blech passen kann.
Die Liste umfasst hier CVE-2026-63550, CVE-2026-65421, CVE-2026-66349, CVE-2026-56758 und CVE-2026-66360. Der höchste von CISA aufgeführte CVSS-3.1-Wert liegt bei 7,5 für CVE-2026-66360; mehrere andere Bewertungen liegen bei 6,5. Besonders hübsch ist daran nichts. Aber es ist diese Sorte Mittel-Hoch-Knirschen, die in industriellen Netzen lieber vor dem Frühstück gepatcht wird als nach dem ersten Anruf aus der Leitwarte.
Offene Bibliothek, geschlossene Zuständigkeit?
libiec61850 ist keine hübsche App mit Icon und Marketingparfüm. Es ist Infrastruktur-Klebstoff: eine Bibliothek für IEC-61850-Kommunikation, also für eine Ecke, in der Schutztechnik, Stationsautomatisierung und Prozessbus nicht als Blogthemen herumliegen, sondern als echte Betriebsrealität. Genau deshalb sind Parserfehler dort so undankbar. Sie sind klein genug, um langweilig zu wirken, und nah genug an Maschinen, um nicht langweilig zu sein.
Die empfohlene Maßnahme ist klar: MZ Automation GmbH empfiehlt laut CISA ein Update auf Version 1.6.2. Zusätzlich wiederholt CISA die bewährten ICS-Grundregeln: Kontrollsysteme nicht offen ins Internet stellen, hinter Firewalls und getrennt von Business-Netzen betreiben, Remotezugänge sauber absichern und vor Änderungen eine Folgenabschätzung machen. Das ist nicht glamourös. Aber ein Parser, der Grenzen nicht ernst nimmt, sollte nicht auch noch von außen höflich eingeladen werden.
Bekannte öffentliche Ausnutzung meldet CISA zum Veröffentlichungszeitpunkt nicht. Gut so. Die Blechpresse notiert trotzdem: Wenn die Prozessbus-Gans mit schiefem Timestamp in die Presse läuft, hilft kein beruhigendes Blinken. Dann zählt nur, ob die Werkstatt die neue Version schon aus dem Regal geholt hat.
Quellen
- https://www.cisa.gov/news-events/ics-advisories/icsa-26-211-10
- https://raw.githubusercontent.com/cisagov/CSAF/develop/csaf_files/OT/white/2026/icsa-26-211-10.json
- https://www.cve.org/CVERecord?id=CVE-2026-66360
- https://www.cve.org/CVERecord?id=CVE-2026-66720
- https://cwe.mitre.org/data/definitions/125.html