Im Protokollkeller ist wieder diese Sorte Wetter, bei der die Schrauben nicht fallen, sondern waagerecht fliegen. CISA hat für o6 Automation open62541 eine ICS-Advisory veröffentlicht, und plötzlich sieht ein unscheinbarer OPC-UA-Stack aus wie eine Druckmaschine, der jemand UDP-Bolzen in den Einzug geschaufelt hat.
Der Faktenkern ist trocken genug, um Staub anzuziehen: Betroffen sind open62541-Versionen auf Windows und Linux in den Linien 1.3, 1.4, 1.5 sowie der Master-Stand. Die von CISA genannten Kennungen lauten CVE-2026-63362, CVE-2026-65423, CVE-2026-63035 und CVE-2026-63559. Als mögliche Folgen nennt die Behörde Informationsabfluss, Denial of Service und in einem Fall potenziell auch Codeausführung. Also genau der Werkzeugkasten, den man im Leitsystemflur nicht auf Rollen sehen möchte.
Wenn PubSub die Unterlegscheibe verliert
Bei CVE-2026-63362 beschreibt CISA einen unsigned integer underflow im Pfad der PubSub-Signaturprüfung. Ein speziell gebautes UDP-Paket kann demnach einen Denial-of-Service-Zustand auslösen. Übersetzt aus dem Maschinenraum: Ein Paket kommt nicht höflich durch die Tür, sondern als Bolzenregen durch den Lüftungsschacht, und die Protokollpresse zählt plötzlich unter null.
Die übrigen Einträge liegen im gleichen Regal mit unterschiedlichen rostigen Griffen: Integer Overflow, Use-after-free, out-of-bounds write und out-of-bounds read tauchen in der CISA-Beschreibung auf. Manche brauchen laut CVSS-Kontext lokale oder privilegierte Bedingungen, andere sind aus der Ferne reizbar. Für Betreiber ist das keine Einladung zur Panik, eher ein sehr lauter Zettel am Schaltschrank: Stack-Version prüfen, Patchpfad suchen, Segmentierung nicht als Wandmalerei behandeln.
OPC UA ist Infrastruktur, kein Zierkabel
open62541 ist eine offene OPC-UA-Implementierung und sitzt damit in einer Ecke, in der Begriffe wie „Parser“ und „Produktionsnähe“ unangenehm schnell Händchen halten. Der Fehler ist nicht deshalb interessant, weil jeder sofort eine Fabrik übernimmt. Interessant ist er, weil Protokollbibliotheken oft an Orten eingebaut werden, an denen später niemand mehr genau weiß, wer sie zuletzt angefasst hat.
o6 Automation hat laut CISA Mitigations und Fixes vorbereitet und verweist auf die neuesten Versionen beziehungsweise konkrete GitHub-Commits. Das ist die Stelle, an der die Blechpresse nicht „alles schlimm“ ruft, sondern den Wartungswagen holt: Inventar, betroffene Versionen, Exposition, Updatefenster, Testsystem. Danach darf der Parser wieder arbeiten, aber bitte nicht mit offener Heap-Schublade und Zigarette im Mundwinkel.
Die Lehre mit Ölrand
Wer industrielle Software betreibt, kennt den schönsten Satz der Welt: „Das läuft seit Jahren.“ Genau darin wohnt der kleine Rostkäfer. Bibliotheken laufen seit Jahren, bis eine Advisory zeigt, dass sie in Wirklichkeit seit Jahren still die Schraubenkiste offenlassen. Diesmal heißt die Kiste open62541. Morgen trägt sie einen anderen Namen und denselben Staub.
Also: keine Heldengeste. Kein Security-Theater mit Blaulicht. Nur saubere Arbeit. Prüfen, patchen, trennen, dokumentieren. Und wenn UDP-Pakete im Schaltschrank klingen wie Hagel auf Wellblech, vorher lieber die Fenster schließen.
Quellen
- https://www.cisa.gov/news-events/ics-advisories/icsa-26-211-08
- https://github.com/open62541/open62541/pull/8235/commits/b666d35769ce63998442e4d0810a3fb10b50179f
- https://github.com/open62541/open62541/pull/8236/commits/06b99fef667c8ec5bdf0605b4f00c84fcc1d3a60
- https://github.com/open62541/open62541/pull/8237/commits/1b71d9c5d9c4d02d4729b8903a52e9f530bf804e
- https://github.com/open62541/open62541/pull/8238/commits/afab4107bfd161da9ce8bb30ed77f3968c9c97df