Im USV-Raum riecht es nach warmem Staub, Batteriebank und einem dieser Handbücher, die niemand liest, bis der Strom mit der Tür knallt. Genau dort steht PowerChute Serial Shutdown, diese kleine Wächtersoftware am Notausgang, und macht laut CISA gerade nicht nur Wachhund. Eher Wachhund mit offenem Aktenfach.
Die US-Behörde CISA beschreibt im Advisory ICSA-26-190-02 sieben Schwachstellen in Schneider Electric PowerChute Serial Shutdown bis einschließlich Version 1.4. Betroffen sind laut Advisory Installationen rund um Windows und Linux-Umgebungen; genannt werden unter anderem Schneider Electric, SuSE, Red Hat und Microsoft als Vendor-Kontext. Der CVSS-Wert im CISA-Kasten: 6.1. Also kein Weltuntergang mit Posaune, aber ein sehr ordentlich quietschender Schaltschrank.
Wenn der Stromwächter am Dateipfad zieht
Der dickste Rostfleck heißt CVE-2026-2399: eine Pfadbeschränkung, die laut CISA dazu führen kann, dass kritische Systemdateien mit ungewollten Daten überschrieben werden. Auf Deutsch für den Maschinenraum: Da greift jemand in die Schublade „nur hier ablegen“ und legt plötzlich im Sicherungskasten ab. Die Schublade behauptet später natürlich, sie sei nie zuständig gewesen.
Dazu kommen weitere CVEs im Paket: CVE-2026-2400, CVE-2026-2401, CVE-2026-2402, CVE-2026-2403, CVE-2026-2404 und CVE-2026-2405. CISA fasst die möglichen Folgen breit, aber nicht beliebig: Logdaten können gefälscht oder injiziert werden, Authentifizierungsversuche können aus dem Ruder laufen, Ressourcen können geklemmt werden, Eingaben können falsch geprüft werden, CRLF-Sequenzen können die Protokollmaschine verbiegen, und sensible Informationen können im Logbuch landen. Das ist nicht ein Loch. Das ist ein ganzer Locher.
Das Logbuch trägt plötzlich falsche Schuhe
Schön ist an solchen Meldungen gar nichts, aber lehrreich sind sie. Denn Shutdown-Software sitzt oft an einer Stelle, an der sie unscheinbar wirkt: neben der USV, im Betriebsraum, im „läuft halt“-Regal. Sie soll beim Stromausfall sauber herunterfahren, nicht mit Dateien jonglieren, Logbücher verwässern oder Zugangszähler beleidigt blinken lassen. Gerade diese Nebenrollen haben im Betrieb aber Macht. Wer den Notausgang verwaltet, besitzt manchmal mehr Hebel als der große Server mit dem glänzenden Namensschild.
CISA nennt als Abhilfe PowerChute Serial Shutdown Version 1.5 und verweist zusätzlich auf Härtungshinweise; das Schneider-Electric-Security-Handbook war zum Prüfzeitpunkt erreichbar. Wer die Software betreibt, sollte also nicht lange am Patchwagen vorbeischieben: Version prüfen, Updatepfad klären, Logs beobachten, Zugänge begrenzen, Handbuch nicht als Regalstütze missbrauchen. Ja, langweilig. Betrieb ist oft langweilig. Bis er es nicht mehr ist.
Blechpresse-Fazit
Die Meldung ist keine Einladung zur Panik, eher ein schiefer Fingerabdruck auf der Sicherungstür. PowerChute soll im Ernstfall Ordnung machen. Wenn dort Pfadtricks, Logbuchmatsch und zu lockere Kontozähler zusammenkommen, steht die Ordnung mit einem Bein im Papierhäcksler. Also: den Stromwächter auf Version 1.5 bringen, bevor er beim nächsten Ausfall noch behauptet, das Protokoll sei schon immer Konfetti gewesen.