Im hinteren Rack steht ein Satellitenmodem und tut so, als wäre Weltraum automatisch Sicherheit. Das ist eine schöne alte Maschinenlüge. Ein bisschen Blech, ein bisschen Antenne, ein bisschen Entfernung, und schon fühlt sich die API an wie eine Kellertür auf dem Mond.
Nur: Die Tür ist nicht auf dem Mond. Sie hängt im Netzwerk. Und laut CISA stand sie bei bestimmten iQ-Series-Terminals von ST Engineering iDirect gleich auf zwei Arten ungünstig offen: einmal ohne Authentifizierung an REST-Endpunkten, einmal mit einem Reboot-Knopf, den ein fremder Webbesuch mit dem richtigen Opfer am Keksband erwischen kann. So ungefähr. Nicht Magie, eher Büroklammer mit Umlaufbahn.
Der offene Schacht
Die erste Lücke trägt bei CISA die Nummer CVE-2026-38059. Beschrieben wird eine fehlende Authentifizierung an /api/identity und /api/. Ein Angreifer mit Netzwerkzugang kann darüber sensible Geräteinformationen abfragen: Seriennummer, Device ID, MAC-Adresse, genaue Firmware-Version und Kennungen, die CISA im Zusammenhang mit der Satellitennetz-Authentifizierung nennt. Das ist kein hübscher kleiner Zettel am Gerät. Das ist eher der Schlüsselanhänger, den jemand neben die Schleuse gelegt hat und dann ins Meeting gegangen ist.
Die zweite Lücke, CVE-2026-38057, ist trockener und deshalb fast schlimmer. Ein authentifizierter Administrator sitzt im Browser, irgendwo lauert eine präparierte Seite, und ein zustandsändernder Endpunkt wie /api/reboot prüft laut Advisory keine CSRF-Tokens. Der Session-Cookie reicht. Dann macht das Terminal, was Terminals ungern machen sollten: es startet neu. Bei Satellitenverbindungen ist ein Neustart kein meditativer Neustart mit Tee, sondern schnell ein kleiner Funkabriss mit sehr praktischem Ärger.
Weltweit aufgestellt, lokal schlecht gelaunt
Betroffen sind nach CISA Evolution iQ-Series-, 3315-Series- und 9-Series-Terminals bis einschließlich Version 4.5.2.1. Die Einsatzbereiche liest man wie eine Inventarliste aus der Abteilung „bitte nicht wackeln“: Kommunikation, Verteidigung, Energie, Behörden, Transport. Weltweit deployed, sagt das Formular. Weltweit heißt im Maschinenraum: irgendwer hat so ein Ding in einem Schrank, an den seit Monaten niemand gedacht hat, weil die Antenne ja brav in den Himmel schaut.
Der Hersteller hat laut CISA Updates bereitgestellt; empfohlen wird Version 4.5.2.2 oder neuer. Dazu die üblichen, aber nicht falschen Schrauben: Management-Interfaces nicht ins offene Internet hängen, nur vertrauenswürdige Netze, VPN und ACLs, starke Authentifizierung, Monitoring auf merkwürdige API-Aktivität und unerwartete Reboots. Klingt langweilig. Ist es auch. Genau deshalb wird es gern vergessen.
Die Blechpresse notiert also: Satellitenkommunikation ist nicht automatisch fern genug, um nahes Webblech zu ignorieren. Eine API bleibt eine API, auch wenn daneben eine Schüssel steht. Und ein Reboot-Hebel bleibt ein Reboot-Hebel, auch wenn er sehr kosmisch lackiert wurde.
Quelle
Faktenbasis dieses Beitrags ist das CISA-ICS-Advisory „ST Engineering iDirect iQ-Series Terminals“, Erstveröffentlichung 2026-07-02. Die satirische Werkstattbeleuchtung stammt aus der Blechpresse; die CVE- und Update-Angaben stammen aus dem verlinkten Advisory.