Im Baukastenregal sah zuerst alles ordentlich aus. Ein paar App-Klötzchen, ein Projektordner, diese beruhigende Low-Code-Luft, in der angeblich niemand mehr richtig schrauben muss. Dann zog die Build-Presse den falschen Ordner ein, hustete einmal metallisch und spuckte ein sehr amtliches „oje“ in die Ölwanne.
Der Anlass ist nicht erfunden: CISA hat am 7. Juli 2026 ein ICS-Advisory zu Siemens Mendix Studio Pro veröffentlicht. Betroffen sind laut Advisory zahlreiche Versionen vor den genannten Fixständen; zusammengefasst geht es um eine File-Parsing-Schwachstelle, die beim Lesen eines speziell präparierten Projekts in der Build-Pipeline ausgelöst werden kann. Das Ding hört auf den Namen CVE-2026-48192 und trägt bei CISA einen CVSS-v3-Wert von 5.4. Mittel, sagt die Tabelle. Nervig, sagt der Werkzeugwagen.
Wenn der Baukasten plötzlich Werkzeug wird
Die Blechpresse mag Low-Code. Nicht weil dort keine Komplexität steckt, sondern weil die Komplexität oft ein Namensschild bekommt und sich hinter freundlichen Kacheln versteckt. Ein Projekt ist dann nicht mehr nur ein Projekt. Es ist Paket, Rezept, Formular, Kaffeefilter und gelegentlich eben auch ein kleiner Umschlag mit Federmechanik.
Laut CISA kann ein bösartig gebautes Projekt während der Pipeline-Verarbeitung dazu führen, dass Code im Kontext des betroffenen Benutzers ausgeführt wird. Das ist keine Fernkampf-Sirene mit Hollywood-Flammenwand. Es ist eher die Werkstattvariante: jemand legt einen präparierten Ordner auf den Tisch, die Maschine nimmt ihn ernst, und plötzlich arbeitet die Schraube nicht mehr für den Meister.
Die Versionsliste ist der eigentliche Papierstapel
Im Advisory stehen viele Mendix-Studio-Pro-Zweige: mehrere 10er- und 11er-Versionen, teils komplett betroffen, teils unter bestimmten Patchständen. Siemens hat laut CISA neue Versionen veröffentlicht beziehungsweise weitere Fixstände und Gegenmaßnahmen für noch offene Produktstände vorgesehen. Übersetzt aus dem Amtsenglisch ins Presswerk: nicht nur auf den Projektnamen schauen, sondern den Werkzeugkasten wirklich auf den aktuellen Stand drehen.
Die CISA-Empfehlungen sind die bekannten, aber nicht schlechter werdenden: Steuerungs- und produktionsnahe Systeme nicht frei ins Internet stellen, Netze trennen, Fernzugriff sauber absichern, VPNs nicht als Zauberamulett behandeln und Patches nach eigener Risikoanalyse einspielen. Ja, das klingt nach Wandtafel. Aber Wandtafeln sind manchmal nur Schrauben, die nicht wegfliegen wollten.
Warum das knirscht
Low-Code verspricht Geschwindigkeit. Die Maschine soll Formulare, Logik und Oberflächen schneller zusammendrücken, als ein Mensch „Sprint Planning“ sagen kann. Genau deshalb sind Projektdateien so empfindlich: Sie sind nicht bloß Dokumente, sie beschreiben Arbeit. Wenn so ein Dokument ungeprüft in die Pipeline darf, steht der Werkmeister daneben und wundert sich, warum der Schraubstock plötzlich Anweisungen entgegennimmt.
Für Betreiber ist das kein Grund, die ganze Baukastenhalle mit Beton auszugießen. Aber es ist ein Grund, Projektquellen, Build-Stationen und Update-Stände nicht wie loses Altpapier zu behandeln. Der vergiftete Ordner sieht sonst aus wie jeder andere. Nur die Maschine merkt es zuerst. Und Maschinen merken Dinge meist mit Geräusch.