Im Schaltschrank hängt heute kein Zettel, sondern ein kleines Blech mit Nachdruck. CISA hat ein neues ICS-Advisory für Rockwell Automation CompactLogix, ControlLogix, Compact GuardLogix und GuardLogix veröffentlicht. Drei CVEs, ein Denial-of-Service-Geruch, und irgendwo in der Werkhalle schaut eine rote Lampe so, als hätte sie gerade das Wort „nicht wieder“ gelernt.
Das ist nicht die Sorte Meldung, bei der sofort ein Kapuzenpulli aus der Lüftung fällt. Es ist eher diese andere, betrieblich unangenehmere Sorte: Steuerungen, Firmwarestände, Recovery Images, Versionstabellen, Wartungsfenster. Also genau der Bereich, in dem niemand spontan Held sein möchte, weil jeder Held vorher mit der Schichtleitung telefonieren muss.
Wenn die SPS in den großen Nichtmehrmag-Modus kippt
Der Faktenkern ist schmal und hart: Laut CISA kann erfolgreiche Ausnutzung der Schwachstellen eine Denial-of-Service-Situation verursachen. Betroffen sind verschiedene CompactLogix-, ControlLogix-, Compact GuardLogix- und GuardLogix-Reihen, darunter 5370/5570 sowie 5380/5480/5580-Familien und Recovery-Image-Stände. Im Advisory stehen die drei Kennungen CVE-2025-11698, CVE-2025-12011 und CVE-2025-12012 gemeinsam auf dem öligen Werkstattzettel.
Besonders hässlich ist daran nicht, dass ein einzelner Name dramatisch funkelt. Es ist die Breite: mehrere Controllerlinien, mehrere Firmwarezweige, hohe CVSS-Werte, und am Ende diese nüchterne Betriebssprache: Gerät kann in einen Zustand geraten, in dem Produktion, Teststand oder Anlage nicht mehr einfach weiterpfeifen. Die Blechpresse übersetzt: Die Walze frisst keine Akte, sie frisst Taktzeit.
Nicht Internet-Oper, sondern Segmentierungsarbeit
CISA meldet zum Veröffentlichungszeitpunkt keine gezielte öffentliche Ausnutzung gegen diese Schwachstellen. Das ist die gute Nachricht, allerdings eine mit ölverschmiertem Rand. Denn „noch nicht bekannt ausgenutzt“ heißt in der Instandhaltung selten „zurücklehnen“, eher: Inventar prüfen, Firmwarestände vergleichen, Exponierung suchen, Wartungsfenster nicht in den Schrank mit den Weihnachtstassen legen.
Die empfohlenen Gegenmittel klingen wie die üblichen, weil sie in solchen Maschinenräumen eben üblich sein müssen: Updates auf die von Rockwell genannten Versionen, Steuerungsnetze nicht offen ins Internet stellen, Kontrollsysteme hinter Firewalls und getrennt von Business-Netzen betreiben, Remote-Zugriff nur mit gepflegten, abgesicherten Wegen. Das ist nicht glamourös. Das ist der Teil, bei dem eine saubere Netzgrenze mehr Heldentum enthält als drei bunte Dashboards.
Und ja, vor Updates in der OT-Welt kommt die Prüfung. Niemand möchte eine Linie retten, indem er sie während der Rettung in den Graben schiebt. Aber gerade deshalb sollte der Zettel nicht in der Ablage „später mal“ verschwinden. Später mal ist in vielen Werkstätten nur ein anderes Wort für: wenn die Lampe schon brennt.
Die kleine Lehre aus dem großen Schaltschrank
Für Betreiber ist dieses Advisory kein Anlass für Theaternebel, sondern für eine ziemlich konkrete Runde: Welche Logix-Geräte laufen? Welche Versionen? Welche Recovery Images? Welche Segmente sind wirklich getrennt und welche stehen nur auf dem Netzwerkplan so sauber da, weil dort die Kabel nicht widersprechen können?
Die Blechpresse legt den Schraubenschlüssel neben den Zettel und sagt: Erst zählen, dann patchen, dann wieder zählen. Und wenn irgendwo ein altes Steuerungsnetz beleidigt blinkt, bitte nicht anschreien. Alte Netze hören schlecht. Sie brauchen Grenzen, Wartung und manchmal einen sehr geduldigen Menschen mit Klemmbrett.