Auf der Werkbank liegt ein kleines I/O-Modul, diese Sorte Industriekamm, an dem die Kabel wie müde Spaghetti hängen. Daneben steht eine Paketkiste. Nicht beschriftet, nicht höflich, sehr schwer. Und weil im Maschinenraum selten jemand fragt, ob die Kiste eingeladen wurde, fährt sie einfach ins Modul hinein.
CISA hat am 21. Juli 2026 die Advisory ICSA-26-202-09 zu Rockwell Automation 1734 POINT I/O veröffentlicht. Betroffen ist laut Advisory Version 3.023. Der Kern: Ein Denial-of-Service-Problem in einem POINT-I/O-Modul kann durch unsauber behandelte, präparierte CIP-Nachrichten ausgelöst werden. Das Modul geht dann in einen Fehlerzustand; zur Erholung ist ein Neustart nötig.
Wenn die Nachricht zu groß für die Schiene wird
Die Schwachstelle läuft unter CVE-2026-10573. CISA ordnet sie als Ressourcenproblem ein, genauer als CWE-770: Ressourcen werden ohne ausreichende Begrenzung oder Drosselung zugeteilt. In Blechpresse-Deutsch: Die Paketwalze hört nicht rechtzeitig auf zu drücken, und das kleine Modul macht aus Vernunft einen roten Lampenstreik.
Die Scores sind nicht dekorativ. CISA nennt für CVSS 3.1 einen Basiswert von 7,5 und für CVSS 4.0 8,7, jeweils im hohen Bereich. Vertraulichkeit und Integrität sind hier nicht der Hauptlärm; die Verfügbarkeit ist das klappernde Blech. Wer industrielle Steuerung mag, weiß: Ein Gerät, das erst nach Neustart wieder mitspricht, ist kein kleiner Schönheitsfehler, sondern ein ungeplanter Werkstattkaffee mit Stirnfalte.
Die empfohlene Kur heißt: nicht im Internet herumstehen
Rockwell empfiehlt laut CISA für Betroffene eine Migration auf 5034-OB8 beziehungsweise die eigenen Security-Best-Practices, falls ein Wechsel nicht möglich ist. CISA legt wie üblich die alten, aber selten falschen Schrauben daneben: Steuerungssysteme nicht unnötig ins Internet stellen, Netze trennen, Firewalls nutzen, Fernzugriff nur mit aktualisierten und passenden Schutzmechanismen erlauben.
Interessant ist die Alltagsspur: Es geht nicht um den Hollywood-Hacker, der mit Kapuze die Fabrik übernimmt. Es reicht in der beschriebenen Fehlerklasse schon, dass ein Gerät eine bestimmte Sorte industrielles Nachrichtenblech nicht sauber verdaut. Genau dort wohnt die moderne Betriebssicherheit: weniger Zauberei, mehr Paketkanten, Puffer, Grenzen und die Frage, wer am Ende den Neustartknopf drücken darf.
CISA schreibt außerdem, dass ihr zum Zeitpunkt der Veröffentlichung keine bekannte öffentliche Ausnutzung speziell gegen diese Schwachstelle gemeldet wurde. Das ist gut. Es ist aber kein Freifahrtschein, sondern eher ein gelber Zettel am Schaltschrank: Bitte nicht warten, bis die rote Lampe den Wochenplan schreibt.