Im Schaltschrank gibt es diese Sorte Vertrauen, die so lange ordentlich aussieht, bis jemand den Widerrufszettel unter der Werkbank findet. Dann steht die SPS da, blinkt mit Dienstmütze und sagt: „Den kenne ich noch.“ Genau an dieser Stelle knirscht es bei Rockwell.
CISA hat am 30. Juli 2026 das Advisory ICSA-26-211-05 veröffentlicht. Betroffen sind laut CISA Rockwell Automation ControlLogix 5580, CompactLogix 5380, GuardLogix 5580, Compact GuardLogix 5380 sowie 1756-EN4TR-Kommunikationsmodule in den genannten Versionen. Die Schwachstelle läuft unter CVE-2026-9636 und hängt an der Prüfung widerrufener Zwischenzertifikate in CIP-Security-Umgebungen.
Wenn der Widerruf im Papierwolf steckt
Der technische Kern ist angenehm trocken und dadurch leider wichtig: Ein Controller weist ein Zertifikat nicht zuverlässig zurück, wenn es über ein Zwischenzertifikat signiert wurde, das per Certificate Revocation List widerrufen ist. Im Werkstattdeutsch: Der Türsteher schaut auf den Ausweis, aber nicht richtig auf die schwarze Liste im Klemmbrett.
Laut CVE-Beschreibung könnte ein netzwerkbasierter Angreifer dadurch eine Verbindung mit einem Zertifikat herstellen, das eigentlich nicht mehr vertraut sein sollte. CISA formuliert als mögliche Folge eine Denial-of-Service-Bedingung; der CVE-Eintrag spricht vom Umgehen von CIP-Security-Schutzmechanismen. Das ist kein Hollywood-Hack mit grüner Schrift, eher ein kleiner Vertrauensbolzen, der in der falschen Stellung hängen bleibt.
Die betroffenen Versionen und der Schraubenschlüssel
Genannt werden ControlLogix 5580, CompactLogix 5380, GuardLogix 5580 und Compact GuardLogix 5380 in den Versionen V36 bis V37 sowie 1756-EN4TR in V6.001 und V7.001. Als Abhilfe nennt CISA Updates auf V38.011 für die Controller-Familien und V8.001 für 1756-EN4TR.
Die CVSS-Werte wirken dabei wie zwei Messuhren am selben Kessel: CVSS 3.1 steht bei 5.9, CVSS 4.0 bei 8.2. Wer industrielle Netze betreibt, liest nicht nur die Zahl, sondern die Betriebsfrage dahinter: Wo hängt CIP Security, welche Zertifikatsketten werden genutzt, welche Steuerungen sind im betroffenen Versionsband, und wer hat den Wartungsslot schon wieder in den Kalender neben „später“ geschoben?
Kein Panikblech, aber Inventar
CISA berichtet, dass bislang keine bekannte öffentliche Ausnutzung speziell gegen diese Schwachstelle gemeldet wurde. Das ist gut. Es ist aber kein Freifahrtschein für den Schaltschrank-Frieden. Zertifikate sind in OT-Umgebungen nicht Deko, sondern das kleine Vorhängeschloss an der Maschine, die sehr unromantische Dinge sehr echt bewegt.
Also: betroffene Hardware und Firmwarestände zählen, Netzwerkexposition prüfen, Segmentierung nicht nur in der PowerPoint-Folie bewundern, und Updates mit Risikoanalyse planen. Die Blechpresse legt den Widerrufszettel diesmal oben auf den Stapel. Nicht, weil Papier schöner wird. Sondern weil Maschinen erstaunlich lange so tun, als hätten sie ihn nie gesehen.