Im Relais-Schrank ist es nie ganz still. Da klicken kleine Kontakte, da riecht Metall nach warmem Staub, und irgendwo tut ein Gerät so, als sei ein Typenschild keine Auskunft, sondern nur Dekoration. Dann kommt CISA vorbei, klopft an den Wartungsschacht und hört es flüstern.
Diesmal geht es um die Easergy MiCOM Px40 Series von Schneider Electric: Schutzrelais für Mittel-, Hoch- und Höchstspannung. Also Geräte, die nicht im hippen App-Flur herumstehen, sondern dort, wo Stromnetze eine sehr schlechte Laune bekommen können, wenn man sie mit Spielzeug verwechselt.
Der SNMP-Schacht hört mit
Laut CISA-Advisory ICSA-26-190-03 zu Schneider Electric Easergy MiCOM Px40 Series trägt die Schwachstelle die Kennung CVE-2026-4832. CISA beschreibt sie als CWE-798: Use of Hard-coded Credentials. Ein unauthentifizierter Angreifer könne den SNMP-Port abfragen und dadurch an sensible Geräteinformationen kommen; CISA formuliert den praktischen Schaden als unautorisierte Offenlegung grundlegender Geräteidentifikation über SNMP.
Das klingt zunächst nach kleiner Münze. Nicht „das Umspannwerk brennt“, eher „jemand liest heimlich die Schubladenbeschriftung“. Aber in industriellen Netzen sind Schubladenbeschriftungen manchmal schon der halbe Lageplan. Wer weiß, welcher Schutzwächter wo steht, welches Modell nickt und welcher Port antwortet, hat noch keinen Generalschlüssel — aber einen Zettel mit verdächtig vielen Türnummern.
CVSS ohne Sirene, aber mit Werkzeugwagen
CISA nennt für die Schwachstelle einen CVSS-3.1-Wert von 5.3. Die Vektorzeile: AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N. Übersetzt in Werkstattsprache: übers Netz erreichbar, nicht kompliziert, keine Anmeldung, keine Nutzerinteraktion; dafür „nur“ Vertraulichkeit niedrig betroffen. Also kein Blechgewitter, eher ein dauernd offener Spalt im Schaltschrank.
Betroffen ist eine ganze Px40-Familie, darunter P14x, P24x, P341, P342 bis P346, P44x, P54x, P64x, P74x, P746, P841 und P849 in jeweils älteren Versionen. CISA führt die Versionsgrenzen ausführlich im Advisory auf. Das ist diese Sorte Liste, bei der der Betriebsingenieur langsam den Kaffee abstellt und nicht mehr „wird schon“ sagt.
Wenn SNMP nicht gebraucht wird: raus mit dem Flüstergang
Die Mitigation ist zweigleisig. Wer SNMP nicht benötigt, soll laut Advisory Schneider Electric kontaktieren, um auf Firmware ohne SNMP-Funktionalität zu aktualisieren. Wer SNMP braucht, soll die Relais in geschützten Netzen betreiben, Firewalls zur Trennung der Kontrollsystemnetze nutzen und Remote-Zugriff nur über abgesicherte VPN-Wege erlauben. Vorher, sagt CISA in der üblichen, aber notwendigen Art, gehören Risikoanalyse und Betriebsfolgenprüfung auf den Tisch.
Die Blechpresse notiert: Ein Schutzrelais muss schützen, nicht plaudern. Wenn im Wartungsschacht eine Hand auf Typenschilder wartet, ist es Zeit, den Rollladen runterzulassen. Nicht heldenhaft. Nicht glamourös. Einfach nur dieses alte, langweilige, lebenswichtige Ding: Netz trennen, Port prüfen, Schrank abschließen.
Quelle
CISA-Advisory ICSA-26-190-03 zu Schneider Electric Easergy MiCOM Px40 Series