Im Leitstand liegt ein Fernwirk-Satz quer auf der Werkbank. Eigentlich sollte er nur sauber durch den Parser laufen, höflich nicken und wieder verschwinden. Stattdessen fällt er an der Pufferkante herunter, reißt ein paar Zahnräder mit und macht aus industrieller Kommunikation das alte Betriebsgeräusch: klonk.
CISA hat am 23. Juli 2026 das Advisory ICSA-26-204-07 zu MZ Automation lib60870 veröffentlicht. Betroffen sind laut CISA Versionen bis einschließlich 2.4.0. Die Schwachstelle CVE-2026-16002 ist als Out-of-bounds Read beschrieben: Ein Angreifer kann den Parsing-Prozess zum Absturz bringen und damit einen Denial of Service auslösen.
Wenn der Parser nicht mehr höflich weiterliest
lib60870 ist keine bunte App für den Sofatisch, sondern eine Bibliothek aus der Fernwirk-Ecke. CISA nennt Chemie, Energie sowie Wasser und Abwasser als betroffene kritische Infrastruktursektoren. Genau dort sind Abstürze selten romantisch. Wenn ein Protokollbaustein in der Leitwarte aufhört zu kauen, steht nicht bloß ein Tab im Browser beleidigt offen.
Der CVSS-Wert liegt bei CISA für Version 3.1 bei 8.2 HIGH, für CVSS 4.0 bei 8.8 HIGH. Das heißt nicht automatisch: morgen brennt der Pumpenkeller. Es heißt: Der Fehler gehört nicht in die Schublade „machen wir nach dem Sommerfest“. Die Blechpresse empfiehlt die Schublade „prüfen, planen, patchen, Kaffee erst danach“.
Der eigentliche Lärm: Denial of Service
Ein Out-of-bounds Read klingt nach Programmierseminar mit Neonlicht. In der Werkstatt übersetzt: Die Maschine greift beim Lesen über die Kante, fasst in den leeren Raum und wundert sich dann, dass ihr die Schrauben aus dem Gehäuse fallen. Bei lib60870 kann das laut Advisory den Parsing-Prozess crashen lassen.
Für Betreiber ist der praktische Teil entscheidend: MZ Automation empfiehlt laut CISA und GitHub Security Advisory ein Update auf Version 2.4.1 oder neuer. CISA wiederholt außerdem die bekannten, aber nicht nutzlosen Werkstattregeln: ICS-Systeme nicht unnötig exponieren, Netze segmentieren, Remote-Zugänge absichern und Änderungen mit Risikoanalyse statt Schraubenschlüsselwurf durchführen.
Keine Heldensaga, nur saubere Kante
Die gute Nachricht: CISA meldet für diese Schwachstelle keine bekannte öffentliche Ausnutzung. Die weniger gemütliche Nachricht: Wer industrielle Protokolle betreibt, lebt ohnehin nicht von Hoffnung, sondern von Inventarlisten, Updatefenstern und Leuten, die wissen, welcher Schaltschrank bei einem Test wirklich beleidigt sein darf.
Also: Version prüfen, Abhängigkeiten suchen, Updatepfad testen, Netzränder kontrollieren. Nicht glamourös. Aber in der Fernwirk-Werkstatt gewinnt selten der schönste Alarm, sondern die Kante, an der der nächste zu lange Satz nicht mehr herunterfällt.