Auf der Werkbank liegt heute kein frischer Exploit mit Flammenrand. Da liegt ein alter Schraubenschlüssel, schief, schwer, sehr metallisch: XZ Utils. Und ausgerechnet ein Steuerkasten von B&R hat ihn noch im Schlund.
CISA führt das Ganze unter „XZ Utils vulnerability impacting B&R Products“. Das klingt wie ein Satz, den jemand im Industrieflur an die Pinnwand tackert, während hinten ein Schaltschrank beleidigt summt. Die Kennung im Advisory: CVE-2025-31115.
Die alte Feder im neuen Steuerkasten
Der Punkt ist nicht, dass plötzlich jede Maschine im Hof Feuer spuckt. Der Punkt ist unangenehmer und alltäglicher: Komponenten wandern. Bibliotheken bleiben liegen. Abhängigkeiten schlafen unter Blechdeckeln, bis jemand mit einer offiziellen Meldung und einem kalten Kaffee vor der Tür steht.
Bei XZ Utils horcht inzwischen jeder im Maschinenraum kurz auf, weil der Name seit der Backdoor-Geschichte nicht mehr nach irgendeinem Kompressionswerkzeug klingt, sondern nach: „Moment, welche Version steckt da eigentlich drin?“ Genau diese Frage ist der eigentliche Schraubendreher des Tages.
Keine Oper, eher Inventur mit öligen Fingern
CISA verweist auf Herstellerinformationen und Gegenmaßnahmen. Für Betreiber heißt das blechern nüchtern: betroffene B&R-Produkte identifizieren, Versionen prüfen, Updates oder Mitigations sauber einplanen und die Steuerung nicht behandeln, als wäre sie ein Deko-Kästchen mit Stromanschluss.
Die Blechpresse macht daraus absichtlich kein Fernsehgewitter. Industrietechnik braucht keine zusätzlichen Nebelmaschinen. Sie braucht Bestandslisten, Wartungsfenster, saubere Segmentierung und jemanden, der nicht erst fragt, ob der Schraubenschlüssel vielleicht von selbst aus dem Getriebe fällt.
Was hängen bleibt
Manchmal ist Sicherheit genau das: ein alter Name, eine neue Produktliste, ein offizieller Zettel. Nicht glamourös. Nicht viral. Aber wenn der Steuerkasten schon hustet, sollte man ihm wenigstens zuhören, bevor der ganze Schaltschrank anfängt, Lieder in Moll zu blinken.