Auf der Werkbank steht heute ein Satellitenmodem, das so tut, als sei es ein souveräner kleiner Kasten. Antenne dran, Kabel dran, bisschen Betriebswärme, alles sehr ordentlich. Dann fällt die Seitentür auf, und aus dem Bauch klimpern Gerätezettel, Schlüsselanhänger und diese Sorte Identität, die man eigentlich nicht in den Flur kippen möchte.
Der Anlass ist kein Werkstattmärchen, sondern ein CISA-Advisory vom 2. Juli 2026: Betroffen sind ST Engineering iDirect iQ-Series Terminals, konkret Evolution iQ‑Series, 3315‑Series und 9‑Series bis einschließlich Version 4.5.2.1. CISA bewertet das Paket mit CVSS v3 8.1 im hohen Bereich. Also nicht Weltuntergangstrompete, aber auch nicht „ach, das wackelt nur ein bisschen“.
Der Eingang ohne Türsteher
Die erste Schraube heißt CVE-2026-38059. Laut CISA legt das iDirect iQ200 die Endpunkte /api/identity und /api/ ohne Authentifizierung offen. Wer Netzwerkzugang hat, kann dabei sensible Geräteinformationen abrufen: Seriennummer, Device ID, Terminal-Private-Key-Kennung, MAC-Adresse und genaue Firmwareversion. Das klingt trocken, ja. Trocken wie ein Zettel, auf dem „Schlüsselbund liegt unter der Fußmatte“ steht.
Besonders hübsch scheppert daran: Device ID und TPK werden in der iDirect-Plattform zur Satellitennetz-Authentifizierung verwendet. CISA formuliert vorsichtig, dass dadurch Terminal-Impersonation und Reconnaissance möglich werden können. Die Blechpresse übersetzt: Der Kasten verrät nicht nur seinen Namen, sondern auch, mit welchem Ausweis er am Werkstor winkt.
Der Neustart als fremder Finger am Hebel
Die zweite Schraube, CVE-2026-38057, ist die klassische kleine Gemeinheit mit großem Hebel. CISA beschreibt fehlende CSRF-Prüfung auf zustandsändernden API-Endpunkten nach der Anmeldung. Der Endpunkt /api/reboot akzeptiert POST-Anfragen, die allein über ein Session-Cookie laufen; das Cookie hat laut Advisory kein SameSite-Attribut. Besucht ein angemeldeter Administrator eine präparierte Seite, kann ein fremder POST den Neustart auslösen. Einmal ist das ein Ruckeln. Wiederholt wird daraus Linkverlust mit Werkstattgeruch.
Man muss hier nicht mehr Drama hineinpressen, als die Quelle hergibt. CISA meldet ausdrücklich: Der Behörde ist derzeit keine bekannte öffentliche Ausnutzung dieser Schwachstellen bekannt. Das ist die gute Nachricht. Die andere Nachricht liegt daneben, mit roter Lampe: Kommunikations-, Energie-, Regierungs-, Transport- und Verteidigungsumgebungen gehören zu den genannten Einsatzfeldern. Satellitenkästen stehen selten aus reiner Dekoration herum.
Patchen, abschotten, nicht ins Schaufenster stellen
ST Engineering iDirect hat die Schwachstellen laut CISA behoben und empfiehlt Version 4.5.2.2 oder neuer. Registrierte Nutzer können Patches über das Support-Portal beziehen. Dazu kommen die üblichen, aber nicht dadurch falschen Blechregeln: Management-Schnittstellen nur in vertrauenswürdige Netze, keine Admin-APIs im öffentlichen Internet, starke Authentifizierung, und bitte auf unerwartete API-Aktivität oder überraschende Geräte-Neustarts achten.
CISA ergänzt die Standardkurbel für industrielle Systeme: Netzexposition minimieren, Kontrollsysteme hinter Firewalls und getrennt von Geschäftsnetzen betreiben, Remote-Zugriff über gepflegte sichere Verfahren wie VPNs absichern — wobei auch VPNs keine Heiligenbildchen sind, sondern selbst gepflegt werden müssen.
Am Ende bleibt ein sehr alter Maschinenwitz: Ein Gerät kann noch so nach Spezialtechnik riechen, wenn der Verwaltungseingang offensteht und der Neustarthebel fremde Finger duldet, wird aus Raumfahrt plötzlich Hausmeisterei. Nur mit schlechterer Aussicht und mehr Kabeln.
Quellen
CISA: ST Engineering iDirect iQ-Series Terminals, ICSA-26-183-01.