# OT-Wochenlage DACH, KW 43/2026

Die Lage ist hoch, weil mehrere Zero-Days in Fernwartungs- und WAN-Produkten aktiv ausgenutzt werden, die dort, wo sie als Fernwartungszugang genutzt werden, direkt vor der Leittechnik stehen. Zuerst kommen BeyondTrust (patchen, Zugangsdaten wechseln, Spuren suchen) und die Härtung der SPS-Webserver, für die es für einen großen Teil der Produkte noch keinen Fix gibt. Lage: hoch.

Alle fünf Branchen in einem Bericht: Strom, Kommunale Versorger, Lebensmittel, Maschinenbau und gesamt. Detailberichte und PDFs je Branche sind verlinkt.

## Gesamt, alle OT-Branchen
Die Lage ist hoch, weil mehrere Zero-Days in Fernwartungs- und WAN-Produkten aktiv ausgenutzt werden, die dort, wo sie als Fernwartungszugang genutzt werden, direkt vor der Leittechnik stehen. Zuerst kommen BeyondTrust (patchen, Zugangsdaten wechseln, Spuren suchen) und die Härtung der SPS-Webserver, für die es für einen großen Teil der Produkte noch keinen Fix gibt.

- KRITISCH · BeyondTrust Remote Support: Zero-Day vor der Veröffentlichung ausgenutzt, KEV seit 16.10. (CVE-2026-102764), Quelle (https://www.rapid7.com/blog/post/etr-cve-2026-102764-critical-beyondtrust-remote-support-authentication-bypass-exploited-in-the-wild/)
- HOCH · Siemens SIMATIC S7-1500 und ET 200SP: acht CVEs im Webserver (Typen laut CISA: Eval Injection und Cross-Site Scripting), für einen großen Teil der Produkte noch kein Fix (ICSA-26-295-14), Quelle (https://www.cisa.gov/news-events/ics-advisories/icsa-26-295-14)
- HOCH · FBI, CISA, US Secret Service, LKA Rheinland-Pfalz und britische Behörden warnen vor SafePay-Ransomware (AA26-293A), Quelle (https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-293a)Branchenbericht Gesamt, alle OT-Branchen lesen (/berichte/woche-gesamt-kw-43-2026/) · PDF (/berichte/woche-gesamt-kw-43-2026/2026-10-23_OT-Cyber-Wochenbericht_gesamt.pdf)

## Strom und Energie
Die Lage ist hoch, weil zwei Fernzugangs-Produkte betroffen sind: BeyondTrust Remote Support, dessen Ausnutzung Mandiant laut Rapid7 einem mutmaßlich China-nahen Spionageakteur zuordnet, und Palo Alto GlobalProtect, bei dem Unit 42 Ausnutzungsversuche durch Ransomware-Betreiber beobachtet. Dazu kommt die Ransomware-Gruppe SafePay, die laut Advisory über gestohlene oder erratene Passwörter, ausgenutzte Schwachstellen und Phishing einsteigt. Vorrang hat die Prüfung von BeyondTrust und GlobalProtect auf Kompromittierung, nicht nur das Patchen.

- KRITISCH · BeyondTrust Remote Support: Zero-Day laut Mandiant von mutmaßlich China-naher Gruppe ausgenutzt, KEV seit 16.10. (CVE-2026-102764), Quelle (https://www.rapid7.com/blog/post/etr-cve-2026-102764-critical-beyondtrust-remote-support-authentication-bypass-exploited-in-the-wild/)
- HOCH · Palo Alto GlobalProtect (CVE-2026-0257): Unit 42 beobachtet Ausnutzungsversuche durch Ransomware-Betreiber Qilin und Inc, Quelle (https://unit42.paloaltonetworks.com/active-exploitation-of-pan-os-cve-2026-0257/)
- HOCH · SafePay-Ransomware: FBI, CISA, US Secret Service, LKA Rheinland-Pfalz, NCA und NWROCU warnen gemeinsam (AA26-293A), Quelle (https://www.bleepingcomputer.com/news/security/cisa-and-fbi-safepay-ransomware-has-hit-over-600-critical-infrastructure-organizations/amp/)Branchenbericht Strom und Energie lesen (/berichte/woche-strom-kw-43-2026/) · PDF (/berichte/woche-strom-kw-43-2026/2026-10-23_OT-Cyber-Wochenbericht_strom.pdf)

## Kommunale Versorger und KRITIS
Die Lage ist hoch. Vorrang haben Fernwartungs- und VPN-Zugänge (BeyondTrust, VeloCloud, VPN ohne MFA): patchen, auf Kompromittierung prüfen und hinterlegte Zugangsdaten wechseln.

- KRITISCH · BeyondTrust Remote Support: vor der Veröffentlichung ausgenutzt, seit 16.10. im KEV (CVE-2026-102764), Quelle (https://www.rapid7.com/blog/post/etr-cve-2026-102764-critical-beyondtrust-remote-support-authentication-bypass-exploited-in-the-wild/)
- HOCH · Siemens SIMATIC S7-1500 und ET 200SP: acht CVEs im Webserver, für einen großen Teil der Produkte noch kein Fix (ICSA-26-295-14), Quelle (https://www.cisa.gov/news-events/ics-advisories/icsa-26-295-14)
- HOCH · PHP2Shell: kritische RCE-Lücken in PHP (CVE-2026-109618/-109619), Quelle (https://www.bleepingcomputer.com/news/security/php-ships-emergency-patches-for-critical-php2shell-flaws/)Branchenbericht Kommunale Versorger und KRITIS lesen (/berichte/woche-versorger-kw-43-2026/) · PDF (/berichte/woche-versorger-kw-43-2026/2026-10-23_OT-Cyber-Wochenbericht_versorger.pdf)

## Lebensmittel und Getränke
Die Lage ist erhöht. Kühlketten mit offen erreichbarer Fernwartung werden nach Einschätzung der französischen Behörde wahrscheinlich weiter angegriffen, und für einen großen Teil einer weit verbreiteten SPS-Familie gibt es noch keinen Fix. Vorrang haben das Abschotten von Kälte- und SPS-Webzugängen und MFA auf allen VPN-Zugängen.

- HOCH · Siemens SIMATIC S7-1500 und ET 200SP: acht CVEs im Webserver, für viele Produkte noch kein Fix (ICSA-26-295-14), Quelle (https://www.cisa.gov/news-events/ics-advisories/icsa-26-295-14)
- HOCH · Angriffe auf Kühlsteuerungen: französische Behörde hält sie für wahrscheinlich andauernd, Europol in Kontakt mit Behörden, Quelle (https://www.insurancejournal.com/news/international/2026/10/16/889220.htm)
- HOCH · Behörden aus den USA, Deutschland und Großbritannien warnen vor SafePay-Ransomware (AA26-293A), Quelle (https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-293a)Branchenbericht Lebensmittel und Getränke lesen (/berichte/woche-lebensmittel-kw-43-2026/) · PDF (/berichte/woche-lebensmittel-kw-43-2026/2026-10-23_OT-Cyber-Wochenbericht_lebensmittel.pdf)

## Maschinen- und Anlagenbau
Die Lage ist erhöht bis hoch, weil Steuerungslücken, für die es großteils noch keinen Fix gibt, und aktiv ausgenutzte Fernwartungs- und Engineering-Software zusammenkommen. Vorrang haben die Prüfung der BeyondTrust-Appliances, die Prüfung der Windows- und Engineering-PCs auf ClickFix/MSI-Ausführungen mit Siemens Software Center und die Absicherung der S7-1500-Webserver in ausgelieferten Anlagen.

- KRITISCH · Siemens SIMATIC S7-1500 und ET 200SP: acht CVEs im Webserver, für viele Produkte noch kein Fix (ICSA-26-295-14), Quelle (https://www.cisa.gov/news-events/ics-advisories/icsa-26-295-14)
- KRITISCH · BeyondTrust Remote Support: Zero-Day vor der Veröffentlichung ausgenutzt, KEV seit 16.10. (CVE-2026-102764), Quelle (https://www.rapid7.com/blog/post/etr-cve-2026-102764-critical-beyondtrust-remote-support-authentication-bypass-exploited-in-the-wild/)
- HOCH · Siemens Software Center wird über ClickFix-Köder ausgenutzt (CVE-2026-110936), Quelle (https://thehackernews.com/2026/10/clickfix-attackers-exploit-siemens.html)Branchenbericht Maschinen- und Anlagenbau lesen (/berichte/woche-maschinenbau-kw-43-2026/) · PDF (/berichte/woche-maschinenbau-kw-43-2026/2026-10-23_OT-Cyber-Wochenbericht_maschinenbau.pdf)

[Bild: Max Gilg]Über den Autor
Max Gilg ist OT-Cybersecurity-Experte aus Rosenheim und in der Anlagentechnik zu Hause, dort, wo IT die echte Welt sabotiert. Seit über 15 Jahren schützt er Strom, Wasser und Industrie, herstellerunabhängig. Sein Team aus Elektrikern, Elektronikern, Informatikern, Incident Respondern und Auditoren setzt den Schutz vor Ort um. Für Redaktionen ordnet er Angriffe kurzfristig ein. Mehr über Max Gilg → (/max-gilg/)Zuletzt aktualisiert: 23.10.2026
Seite teilen: LinkedIn (https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Fot-cyber.de%2Fberichte%2Fwoche-dach-kw-43-2026%2F)XING (https://www.xing.com/spi/shares/new?url=https%3A%2F%2Fot-cyber.de%2Fberichte%2Fwoche-dach-kw-43-2026%2F)Facebook (https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Fot-cyber.de%2Fberichte%2Fwoche-dach-kw-43-2026%2F)X (https://twitter.com/intent/tweet?url=https%3A%2F%2Fot-cyber.de%2Fberichte%2Fwoche-dach-kw-43-2026%2F&text=OT-Wochenlage%20DACH%20KW%2043%2F2026%20%7C%20OT-Cyber.de)WhatsApp (https://wa.me/?text=OT-Wochenlage%20DACH%20KW%2043%2F2026%20%7C%20OT-Cyber.de%20https%3A%2F%2Fot-cyber.de%2Fberichte%2Fwoche-dach-kw-43-2026%2F)E-Mail (mailto:?subject=OT-Wochenlage%20DACH%20KW%2043/2026%20%7C%20OT-Cyber.de&body=https%3A%2F%2Fot-cyber.de%2Fberichte%2Fwoche-dach-kw-43-2026%2F)