Die gefährlichste Werkzeugkiste ist nicht die mit Rost am Scharnier. Es ist die, die eine Projektdatei höflich aufmacht und danach so tut, als seien fremde Pfade nur besonders kreative Ablageorte.
CISA hat am 21. Juli 2026 ein ICS-Advisory zu Rockwell Automation Studio 5000 Logix Designer veröffentlicht. Betroffen sind mehrere Versionen der Engineering-Software; die drei CVEs heißen CVE-2026-9108, CVE-2026-9127 und CVE-2026-9128. Laut Advisory kann erfolgreiche Ausnutzung lokalen Angreifern ermöglichen, beliebige Dateien auszuführen, Konfigurationen zu verändern oder Code auszuführen.
Wenn das Projektfile aus der Spur läuft
Der erste Bolzen sitzt in den ACD-Projektdateien: CISA beschreibt bei CVE-2026-9108 ein Path-Traversal-Problem. Dateinamen in der Projektstruktur werden beim Öffnen nicht ausreichend bereinigt; präparierte Pfade können aus dem vorgesehenen Entpackkasten herausklettern. Im Blechpresse-Bild: Die Projektmappe geht vorne in die Walze, hinten kommen Schienen heraus, die nicht mehr wissen, wem die Werkstatt gehört.
Die Bewertung ist dabei kein Weltuntergang mit Sirene, aber auch kein Staubkorn: CISA nennt für diese Schwachstelle CVSS 3.1 mit 6.7 und hohe Angriffskomplexität. Es braucht lokale Voraussetzungen und Nutzerinteraktion. Das ist keine Einladung zum Wegsehen, sondern der klassische Industriebefund: kompliziert genug, um unterschätzt zu werden, relevant genug, um später in irgendeinem Wartungsfenster beleidigt zu blinken.
External Tools mit losem Griff
Die beiden anderen Schrauben sitzen bei den externen Werkzeugen. CVE-2026-9127 betrifft laut CISA eine falsche Autorisierung an einer Konfigurationsdatei: Authentifizierte Nutzer können Pfade externer Tools so verändern, dass beim nächsten Griff in die Werkzeugkiste etwas anderes startet als geplant. CVE-2026-9128 beschreibt dazu den alten Windows-Klassiker der unquoted search path: Wenn Pfade mit Leerzeichen nicht sauber eingefasst sind, kann ein fremdes ausführbares Teil früher in der Suchreihenfolge liegen.
Man muss diesen Satz einmal langsam lesen, weil er so schön nach Maschinenraum riecht: Nicht das Werkzeug ist zwingend böse, sondern der Weg dorthin ist locker verschraubt. Das ist Sicherheitsarbeit in der Fabrik: Nicht nur prüfen, ob die Tür abgeschlossen ist, sondern auch, ob der Schlüsselbund auf dem Flur als Komfortfunktion dokumentiert wurde.
Patchkiste und Isolationshebel
Rockwell empfiehlt laut CISA Aktualisierungen auf korrigierte Versionen: unter anderem V37.00, 36.01, 35.02, 34.04, 33.04 und 32.05 für CVE-2026-9108; für die anderen beiden CVEs werden ebenfalls korrigierte Versionsstände genannt. Wer nicht sofort aktualisieren kann, soll die Security Best Practices des Herstellers verwenden. CISA ergänzt die bekannten ICS-Grundregeln: Steuerungssysteme nicht direkt ins Internet hängen, Netze trennen, Remote-Zugänge absichern, Risikoanalyse machen, bevor man im laufenden Betrieb den großen Hebel zieht.
Ein Trost steht im Advisory auch: CISA liegen keine Berichte über bekannte öffentliche Ausnutzung speziell dieser Schwachstellen vor. Das ist gut. Es ist aber kein Freifahrtschein. In der Werkstatt heißt „noch nicht ausgenutzt“ ungefähr: Der Schraubenschlüssel liegt noch da, wo ihn niemand gesucht hat.
Also: Versionen zählen, Projektdateien nicht aus fremden Eimern öffnen, externe Tools kontrollieren, Patchfenster planen. Und den roten Isolationshebel bitte nicht erst beschriften, wenn die Pfadschiene schon durchs Nachbarregal fährt.