Im Schaltschrank hängt ein Rucksack. Nicht aus Stoff, eher aus Firmware, Kernelresten und jenen kleinen Metallschrauben, die nach dem Update immer übrig bleiben. Auf dem Etikett steht nicht viel. Die Blechpresse liest: zusätzliche GNU/Linux-Ecke. Dann knirscht es.
CISA hat unter ICSA-26-209-04 eine Siemens-Meldung zu SIMATIC S7-1500 CPU 1518(F)-4 PN/DP MFP republiziert. Siemens führt sie als SSA-019113. Der Kern: Im zusätzlichen GNU/Linux-Subsystem der Firmware V3.1.6 stecken viele Schwachstellen, betroffen sind Varianten der CPU-1518-MFP-Familie inklusive SIPLUS-Ausführung. Das ist kein einzelner loser Draht, eher eine Kleinteilekiste mit CVE-Beschriftung.
Der Nebenraum in der Steuerung
Industrie-CPUs waren nie nur blinkende Klemmen mit guter Haltung. Moderne Steuerungen tragen Betriebssysteme, Zusatzfunktionen, Pakete, Schnittstellen und manchmal ganze kleine Nebenräume in sich. Genau dort sitzt hier der interessante Rost: Siemens und CISA sprechen vom additional GNU/Linux subsystem. Also von einem Bereich, der nach normaler IT riecht, aber an einer Steuerung hängt, die nicht einfach wie ein Büro-Laptop in die Teeküche gestellt wird.
Siemens nennt für die Advisory-Seite einen CVSS-v3.1-Spitzenwert von 9.8 und CVSS v4.0 von 8.7. In der CSAF-Datei tauchen sehr viele Einzel-CVEs mit unterschiedlichen Bewertungen auf. Für Betreiber ist die genaue Länge dieser Liste weniger poetisch als praktisch: Inventar aufmachen, Firmwarestand prüfen, Produktvariante abgleichen, Zuständigkeit suchen. Der Rucksack leert sich nicht durch Anstarren.
Fixes in Vorbereitung, Werkstattregeln sofort
Die unbequeme Stelle: Laut CISA/Siemens werden Fix-Versionen vorbereitet; für die genannten betroffenen Produkte steht in der Meldung noch kein fertiger Fix bereit. Als Gegenmaßnahmen empfiehlt Siemens unter anderem, den Zugriff auf die interaktive Shell des zusätzlichen Linux-Subsystems auf vertrauenswürdiges Personal zu begrenzen und nur Anwendungen aus vertrauenswürdigen Quellen zu bauen und auszuführen. CISA ergänzt die bekannte, aber weiterhin richtige Litanei: Steuerungssysteme nicht ins Internet hängen, Netze segmentieren, Remote-Zugänge härten, Risiko vor Änderungen prüfen.
Das klingt nach Hausmeisterzettel. Ist aber eher die Brandschutztür. Wenn eine SPS einen Linux-Nebenraum trägt, dann reicht es nicht, vorne auf das grüne Betriebslicht zu zeigen. Man muss wissen, wer dort hinein darf, was dort läuft und ob die Tür zum Produktionsnetz wirklich eine Tür ist oder nur ein Vorhang mit Firewall-Aufdruck.
Die Blechpresse zählt keine CVEs aus Spaß
Man kann solche Meldungen als Listenübung abtun: CVE hier, CWE dort, noch ein Vektor, noch ein Score. Genau so rutscht die Schraube unter den Schrank. Der technische Punkt ist größer: IT-Schichten wandern in OT-Geräte, und mit ihnen wandern deren Patchrhythmus, Bibliotheken, Seitentüren und Bedienfehler mit. Die Steuerung bekommt dadurch mehr Fähigkeiten. Leider bekommt sie auch mehr Bauch.
Also keine Panikpresse, aber auch kein Weglächeln. Prüfen, ob die betroffenen CPU-1518-MFP-Varianten im Bestand sind. Shell-Zugriffe und eigene Anwendungen kontrollieren. Netzwerkpfade schließen, die nur aus Gewohnheit offen stehen. Und dann den Patchpfad beobachten, bis Siemens den Rucksack wirklich näht. Die Blechpresse stellt derweil eine Schraubenschale hin. Man wird sie brauchen.