Am Werkstor steht ein Kasten, der aussieht, als könne er einen Gabelstapler anknurren. RUGGEDCOM, robust, industrietauglich, mit Virtual NGFW im Bauch. So ein Gerät soll zwischen Fabriknetz und Draußenwelt sitzen wie ein sehr ernster Pförtner mit Kabelbinder.
Jetzt liegt dieser Pförtner selbst auf der Prüfwalze. CISA hat die Siemens-Meldung ICSA-26-202-02 republiziert; Siemens ProductCERT führt sie als SSA-104023. Betroffen sind laut Siemens RUGGEDCOM APE1808-Geräte mit Palo Alto Networks Virtual NGFW, weil dort PAN-OS-Schwachstellen mit auf dem industriellen Gepäckträger sitzen.
Drei Schrauben in der Managementkante
Die Liste ist keine große Zaubershow, eher eine Werkstatt mit drei offenen Schubladen: CVE-2026-0266 beschreibt Stored XSS in der PAN-OS-Weboberfläche. CVE-2026-0272 betrifft eine Privilege-Escalation-Möglichkeit für authentifizierte Administratoren mit CLI-Zugang. CVE-2026-0273 ist die gröbere Zange: Command Injection für authentifizierte Administratoren über CLI oder Web UI.
Das klingt erst einmal beruhigend, weil überall ein Administrator im Satz steht. Die Blechpresse hebt aber den öligen Finger: In Industrieumgebungen ist gerade die Managementebene kein Deko-Regal. Wer sie zu breit ins Netz stellt, baut dem Problem eine Rampe. Palo Alto Networks schreibt bei den eigenen Advisories, dass kein bösartiges Ausnutzen bekannt sei; trotzdem drehen sich die empfohlenen Schutzschrauben sichtbar um beschränkten Managementzugang und Updates.
Wenn die Firewall nicht Cloud-Watte ist
Besonders hübsch rostig ist der Kontext: CISA erwähnt ausdrücklich, dass Cloud NGFW und Prisma Access bei diesen PAN-OS-Punkten nicht betroffen sind. Beim Siemens-Fall reden wir aber über einen harten Industriekasten am Rand, also über den Ort, an dem Schutzkonzepte gern mit Staub, Schichtbetrieb und sehr konkreten Kabelwegen Bekanntschaft machen.
Siemens nennt als betroffene Produktlinie alle RUGGEDCOM APE1808 mit Palo Alto Networks Virtual NGFW und verweist für Patch- und Update-Informationen auf den Kundensupport. Das ist kein dramatischer Filmtrailer, sondern ein Verwaltungsakt mit Helm: Support kontaktieren, Managementschnittstellen einschränken, Zugriff über vertrauenswürdige interne Systeme führen, und nicht darauf hoffen, dass der Werkstor-Kasten schon deshalb sicher ist, weil er schwer aussieht.
Die Blechpresse zählt die Ports nach
Der eigentliche Befund ist kleiner und unangenehmer als die Überschrift: Security-Appliances sind keine Zauberkästen außerhalb der Patch-Physik. Sie sind Software, Hardware, Lieferkette, Betriebsprozess und Zugriffspolitik in einem Gehäuse. Wenn dort eine Managementschraube schief steht, wird aus dem Schutzblech sehr schnell ein Werkzeug für Leute mit falschem Ausweis.
Also: keine Panikwalze, aber Werkzeugprüfung. Wer RUGGEDCOM APE1808 mit Virtual NGFW betreibt, sollte das Siemens-Advisory gegen den eigenen Bestand halten, die Palo-Alto-Fixes und Mitigations sauber lesen und die Managementebene nicht als öffentlichen Schraubstock verwenden. Der Kasten darf weiter am Werkstor stehen. Nur bitte ohne offenen Werkzeugkasten im Adminschacht.