Der Stecker liegt offen auf der Werkbank, und plötzlich sieht er nicht mehr nach Stecker aus. Eher nach einer kleinen Amtsstube für alte Bibliotheken: hier ein Schlüssel, dort ein Puffer, hinten ein Paket, das schon länger so tut, als sei 2022 nur ein Gerücht.
CISA hat am 21. Juli 2026 das ICS-Advisory ICSA-26-202-04 zum Siemens SIDIS Secured SmartPlug veröffentlicht. Siemens ProductCERT führt das Thema als SSA-585531. Betroffen sind laut Advisory alle SIDIS Secured SmartPlug-Versionen vor V7.26.0310; Siemens empfiehlt ein Update auf V7.26.0310 oder neuer.
Ein kleiner Stecker, viele alte Schrauben
Das Interessante an diesem Stück Industriekleinteil ist nicht nur der einzelne Defekt. Es ist die Patchkiste als Ganzes: CISA und Siemens nennen mehrere Schwachstellen in Komponenten wie OpenSSL, OpenSSH, hostapd, wpa_supplicant, BusyBox, ICU, sudo und libarchive. Der höchste CVSS-v3.1-Wert liegt bei 9.8. Da klappert nicht nur eine Mutter im Gehäuse, da singt das ganze Regal.
Der SmartPlug gehört in die SIDIS-Welt, ein Inbetriebnahme- und Testsystem für die Fahrzeugproduktion. Genau deshalb ist der Name so tückisch harmlos. „Plug“ klingt nach Steckdose im Besprechungsraum; industriell gesehen hängt daran aber ein Stück Produktionswirklichkeit, also Kabel, Steuerung, Verantwortung und der übliche Satz: Wer darf das Ding wann anfassen?
Die Blechpresse sieht Paketrost
Viele der CVEs kommen aus zugelieferten Komponenten. Das ist normal und gleichzeitig der Grund, warum Patch-Management im Industrieboden nicht nach „einmal drüberwischen“ aussieht. Ein Gerät ist eben nicht nur sein Gehäuse. Es ist ein Stapel aus Firmware, Bibliotheken, kryptografischen Routinen, alten Annahmen und dem einen Skript, das seit Jahren niemand laut beim Namen nennt.
Die öffentliche CSAF-Datei wiederholt die Kernmaßnahme nüchtern: Update auf V7.26.0310 oder später. Dazu kommen die üblichen CISA-Empfehlungen: Steuerungssysteme nicht offen ins Internet hängen, Netze trennen, Fernzugriffe nur mit aktueller und geeigneter Absicherung betreiben und vor Abwehrmaßnahmen eine saubere Risiko- und Auswirkungsanalyse machen. Kurz: nicht erst den Stecker ziehen und danach die Halle fragen, warum sie dunkel ist.
Update ist kein Glitzer, sondern Inventur
Für Betreiber ist der Punkt weniger dramatisch als arbeitsreich: betroffene Version prüfen, Wartungsfenster finden, Update-Pfad lesen, Abhängigkeiten notieren, Rückfallplan bereitlegen. Das klingt langweilig, bis man die Alternative mit Funken sieht.
So bleibt der SmartPlug ein schönes Lehrstück aus der Werkstatt: Je kleiner das Gerät, desto leichter übersieht man die große Lieferkette darin. Die Blechpresse empfiehlt deshalb die klassische Methode: Inventar auf, Version runter, Patch rauf, Netzwerkzaun geradeziehen. Und den Stecker danach nicht für geheilt erklären, nur weil er wieder freundlich blinkt.