Im Schaltschrank hat heute jemand gehustet. Nicht laut. Eher dieses trockene Klicken, das Wartungssoftware macht, wenn sie ein Archiv auspackt und dabei plötzlich sehr viel Realität im Mund hat.
Der Zettel kommt von CISA, also nicht vom Pausenraum-Orakel. Gemeldet ist Mitsubishi Electric MELSOFT Update Manager SW1DND-UDM-M. Im Paket liegen mehrere CVE-Späne: CVE-2025-11001, CVE-2025-53816, CVE-2025-53817, CVE-2025-55188. Der Kern ist unangenehm handfest: Ein manipuliertes Archiv kann beim Entpacken einen Buffer Overflow auslösen und das betroffene Produkt in einen Denial-of-Service-Zustand schicken. Also: nicht Hollywood, eher Werkbank. Aber eine Werkbank, auf der gerade eine Schraube in den Schaltschrank fällt.
Die Archivpresse zieht schief
Betroffen sind laut CISA Versionen von MELSOFT Update Manager SW1DND-UDM-M bis einschließlich 1.014Q; Mitsubishi Electric nennt eine feste Version ab 1.015R. Das klingt nach Kleingedrucktem, ist aber die Stelle, an der Anlagenbetreiber die Versionsliste nicht nur anschauen, sondern anfassen sollten. Alles andere ist diese besondere Form von Optimismus, die später in Incident-Tickets wohnt.
Die Warnung bleibt dabei erfreulich unspektakulär. CISA beschreibt den Angriffsweg als lokal und daran gebunden, dass ein legitimer Benutzer ein präpariertes Archiv mit dem betroffenen Produkt dekomprimiert. Kein Grund, sofort die Sirene zu heiraten. Aber genug Grund, Archivquellen, Remote-Logins, Netzwerkzugriffe und die übliche „das ist nur der Wartungs-PC“-Romantik einmal durch die Presse zu schicken.
Was jetzt nicht rostig werden sollte
Wer das Produkt im Bestand hat, prüft Versionen, plant das Update und begrenzt bis dahin den Zugriff: LAN statt Wildwest, keine untrusted Remote-Logins, Firewall oder VPN dort, wo Internetzugang nötig ist, und physischer Zugang nicht als freundliche Einladung mit Türklinke. Das ist keine poetische Empfehlung, das ist die langweilige Sorte Schutzblech, die man erst vermisst, wenn der Ventilator schon Späne verteilt.
Die Blechpresse legt den Vorgang in die Schublade „klein aussehend, aber mit Zähnen“. Nicht jede ICS-Meldung ist Weltuntergang. Manche sind nur ein brauner Umschlag mit vier CVEs und dem Satz: Bitte nicht warten, bis der Update-Manager selber zum Wartungsfall wird.
Quelle
CISA: Mitsubishi Electric MELSOFT Update Manager SW1DND-UDM-M