Der Zettel kommt nicht durch die Vordertür. Er wird an die Fabrikwand geklebt, schön ordentlich, mit Formularrand und einem viel zu großen Schlüsselbund am Gürtel. Danach tut die Wand, was Wände in modernen Datenfabriken eben tun: Sie schaut zurück. Und manchmal führt sie JavaScript aus. Da knirscht der Putz.
Die CISA hat am 16. Juli 2026 ein Advisory zu Rockwell Automation FactoryTalk DataMosaix Private Cloud veröffentlicht. Betroffen sind laut Behörde Versionen bis einschließlich 8.02. Die Lücke trägt die Nummer CVE-2026-9292 und sitzt in der Workflows-Konfiguration: gespeichertes Cross-Site-Scripting, also kein flüchtiger Papierflieger, sondern ein roter Klebestreifen, der auf dem Server liegen bleibt, bis ihn jemand anders im falschen Moment anschaut.
Der Unterschied zwischen Staub und gespeicherten Staub
CISA beschreibt den möglichen Angriff eng genug, dass die Blechpresse nicht mit der Alarmhupe durch den Hof rennen muss: Ein Angreifer braucht hohe Berechtigungen. Er kann dann in der Workflows-Konfiguration bösartige Skripte dauerhaft ablegen. Wenn andere Nutzer die betroffene Seite öffnen, kann das laut Advisory bis zu Account-Übernahme, Credential-Diebstahl oder Umleitung auf eine bösartige Website führen. Also: nicht Weltuntergang per Knopfdruck, sondern der klassische Werkstattunfall mit Chef-Schlüssel, Sekundenkleber und Publikum.
Das macht die Sache nicht harmlos. Gerade Fabrikdaten-Plattformen sind keine dekorativen Digitalvasen. Dort hängen Workflows, Berichte, Zustände und Menschen, die eigentlich Maschinen beobachten wollten und plötzlich eine fremde Theateranweisung im Browser haben. Der eigentliche Witz ist ja: Auch hochprivilegierte Rollen sind nicht automatisch vertrauenswürdig, nur weil sie eine schönere Warnweste tragen.
Patch-Kiste statt Heldenerzählung
Rockwell empfiehlt laut CISA den Wechsel auf DataMosaix Private Cloud 8.03 oder neuer. Für Umgebungen, die nicht sofort aktualisieren können, verweist das Advisory auf Rockwells Sicherheitspraktiken. CISA selbst wiederholt die üblichen, aber nicht falschen Mantras: Kontrollsysteme nicht direkt ans Internet hängen, Netzwerke trennen, Fernzugänge sauber absichern, VPNs nicht als magische Blechhaube missverstehen.
Die Blechpresse übersetzt das in Werkstattsprache: Wer Workflows verwaltet, sollte nicht nur prüfen, ob der Kleber hält, sondern auch, wer überhaupt mit Kleber in die Halle darf. Update planen, privilegierte Rollen nachziehen, Browserflächen in Administrationsbereichen ernst nehmen. Und wenn jemand sagt, XSS sei doch nur Webkram, darf er einmal die Schlüssel-Schublade zählen.
Quellen, nicht Kaffeesatz
Faktenbasis dieses Beitrags sind die verifizierten Hinweise von CISA und die öffentliche CVE-/CSAF-Spur: CISA Advisory ICSA-26-197-09 zu Rockwell Automation FactoryTalk DataMosaix, CVE-2026-9292 im CVE-Verzeichnis sowie die CSAF-Datei zum Advisory. Keine Kristallkugel, nur Blech mit Beleg.