Teil des Sammelberichts: alle Branchen im Überblick → (/berichte/woche-dach-kw-45-2026/)

# OT-Wochenbericht Maschinen- und Anlagenbau, KW 45/2026
Berichtszeitraum 30.10.2026 bis 06.11.2026 · Für: Maschinen- und Anlagenbauer, Komponentenhersteller, Systemintegratoren · TLP:CLEAR (öffentliche Quellen)
Lage: erhöht

## Executive Summary
In KW 45 wurde eine Gateway-Lücke ausgenutzt, wie sie in vielen Maschinen steckt. Laut VulnCheck greifen Angreifer Siemens SIMATIC IoT2050 mit Node-RED über CVE-2026-58115 (CVSS 10) an, der erste Angriff wurde am 30.10. beobachtet. Dazu kommt ein Siemens Advisory zu Industrial Edge: Für mehrere Management-Apps gibt es noch keinen Fix, Siemens empfiehlt nur Mitigationen. Bei der Kühlanlagen-Welle in Supermärkten zeigt sich in Deutschland erstmals der Angriffsweg. Laut dpa wurde in Wetter-Volmarstein nicht der Markt angegriffen, sondern die Firma, die die Anlagen per Fernwartung betreut. Das betrifft jeden Hersteller und Integrator, der Fernzugänge zu Kundenanlagen betreibt.
CERT@VDE hat in dieser Woche mehrere Advisories zu DACH-Herstellern veröffentlicht. Bei WAGO können Angreifer über das PHP im integrierten Webserver von Steuerungen ohne Anmeldung Code ausführen (CVSS 9,8). Bei Phoenix Contact PLCnext Engineer werden GSDX-Signaturen nicht geprüft und Plug-ins lassen sich manipulieren. Mehrere Phoenix-Tools enthalten eine verwundbare CodeMeter Runtime. Welotec hat Lücken in TK-Routern gemeldet (VDE-2026-119, Ausnutzung nur mit hohen Rechten), die häufig für die Fernwartung genutzt werden. Für Komponentenhersteller ist das ein Probelauf für den CRA: Seit dem 11.09.2026 müssen sie aktiv ausgenutzte Schwachstellen über die ENISA-Plattform melden.
Gesamtbewertung: Lage erhöht: In einem verbreiteten Industrie-Gateway wird eine Lücke aktiv ausgenutzt, und über einen Fernwartungsdienstleister gab es einen Angriff mit physischen Folgen. Vorrang haben das Inventar und die Härtung von Node-RED/IoT2050, Industrial Edge und den eigenen Fernwartungszugängen.
Empfehlung an die Geschäftsführung: Lassen Sie diese Woche die installierte Basis an Gateways und Fernwartungsroutern beim Kunden erfassen und die Fernwartung des eigenen Service prüfen. Beides schützt die Kunden und ist die Grundlage für die CRA-Meldepflicht.

## Relevanz im Überblick
Nr.ThemaWoRelevanzHandlungFrist
L-01Kühlanlagen-Angriffe in Deutschland: Weg führte offenbar über den FernwartungsdienstleisterService und Fernwartung von Herstellern und DienstleisternHOCHEigene Fernwartungsplattform und Kundenzugänge prüfensofort
L-02Siemens Industrial Edge: Brotli-Lücke CVE-2026-111497 (CVSS 9,8), für sieben Management-Apps noch kein Fix (SSA-443410)Industrial Edge Management (IEM) im Werk oder beim KundenHOCHBetroffene Management-Apps deinstallieren bzw. stoppen, IEM per Firewall/WAF schützensofort
L-03WAGO-Steuerungen: PHP2Shell, Codeausführung ohne Anmeldung über den Webserver (CVE-2026-109618, CVSS 9,8)SPS in Maschinen und Anlagen (CC100, PFC100/200/300, Edge Controller, TP600, WP400)HOCHFirmware auf 4.10.4 (FW32) heben oder Webserver abschalten1 Woche
L-04Phoenix Contact PLCnext Engineer: GSDX-Signaturen werden nicht geprüft, Plug-in-Validierung umgehbar (VDE-2026-121)Engineering-Rechner und PROFINET-ProjektierungMITTELAuf PLCnext Engineer 2026.6 aktualisieren2 Wochen
L-05Phoenix Contact: CodeMeter-Runtime-Lücken in Software-Tools (VDE-2026-098, bis CVSS 8,6)Lizenzierung auf Engineering- und Service-RechnernMITTELCodeMeter Runtime auf V8.41a bzw. V9.10 aktualisieren, Netzwerkserver abschalten2 Wochen

## Exponierte OT-Systeme (Shodan)
Exponierte OT-Systeme (Shodan, Stand 06.11.2026):

Region
Gesamt
Top-Protokolle

Deutschland
143185
DNP3: 32440, OMRON FINS: 26119, ProConOS: 16052, Siemens S7: 7764, OPC UA: 5141

Österreich
4790
HMI/VNC: 1046, DNP3: 970, Niagara Fox: 472, Siemens S7: 387, OPC UA: 158

Gezählt werden aus dem Internet erreichbare Dienste typischer OT-Protokolle. Die Zahlen sind ein Indikator für Angriffsfläche, kein Nachweis einer Verwundbarkeit. Keine Einzelsysteme genannt. Siemens S7 = Port 102 (alle ISO-TSAP-Dienste, nicht nur echte S7-Steuerungen), OPC UA = Standardport 4840.

## Lage im Detail

### L-01 Kühlanlagen-Angriffe in Deutschland: Weg führte offenbar über den Fernwartungsdienstleister
HOCH · Handelsblatt (dpa), 03.11. (https://www.handelsblatt.com/politik/deutschland/hacker-attacke-cyberangriffe-auch-auf-kuehlanlagen-deutscher-supermaerkte/100266999.html)
Was ist neu: Laut dpa sind neben Lilienthal auch Märkte in Wuppertal, Wetter bei Hagen, Niederbayern, dem Münsterland und der Westpfalz betroffen. Der Markt in Wetter-Volmarstein gibt an, der Angriff sei auf die Firma erfolgt, die die Kühlanlagen aus der Ferne wartet. Wer dahintersteckt, ist unklar.
Bedeutung: Hier wurde ein Dienstleister mit Fernzugang zu vielen Kundenanlagen zum Einfallstor. Dieselbe Rolle haben Maschinenbauer und Systemintegratoren mit eigenen Serviceportalen. Wird so ein zentraler Zugang kompromittiert, trifft es alle Kunden zugleich.
Empfehlung: Fernwartung über ein zentrales Gateway mit MFA, Freigabe je Sitzung durch den Kunden und Protokollierung betreiben. Gemeinsam genutzte Service-Zugangsdaten über mehrere Kunden hinweg abschaffen.

### L-02 Siemens Industrial Edge: Brotli-Lücke CVE-2026-111497 (CVSS 9,8), für sieben Management-Apps noch kein Fix (SSA-443410)
HOCH · Siemens ProductCERT, 30.10. (https://cert-portal.siemens.com/productcert/html/ssa-443410.html)
Was ist neu: Siemens prüft die Auswirkung der Brotli-Lücke CVE-2026-111497 auf Industrial Edge. Hub und Management Cloud sind laut Advisory zentral behoben. Für Apps wie Edge OPC UA Server Configurator, Databus Configurator oder Flow Creator Configurator gibt es noch keinen Fix.
Bedeutung: Wer Industrial Edge in Maschinen oder Linien integriert, muss die Mitigationen beim Kunden umsetzen oder anstoßen. Ohne installierte Management-Apps ist laut Siemens nichts zu tun.
Empfehlung: Je IEM-Instanz prüfen, welche Management-Apps installiert sind. Die betroffenen Apps nach Siemens-Vorgabe entfernen und das IEM vom übrigen Netz trennen, bis Fixes da sind.

### L-03 WAGO-Steuerungen: PHP2Shell, Codeausführung ohne Anmeldung über den Webserver (CVE-2026-109618, CVSS 9,8)
HOCH · CERT@VDE (VDE-2026-132), 02.11. (https://certvde.com/en/advisories/VDE-2026-132/)
Was ist neu: Zwei Use-after-free-Lücken in der PHP-Laufzeit (CVE-2026-109618 mit CVSS 9,8, CVE-2026-109619 mit CVSS 8,1) erlauben Codeausführung aus der Ferne. Betroffen ist wago_os_linux unter 4.10.4 (FW32), wenn der integrierte Webserver aktiv ist. Hinweise auf Ausnutzung gibt es im Advisory nicht.
Bedeutung: WAGO-PFC-Steuerungen stecken in vielen Maschinen aus DACH, oft mit aktivem Web-Based Management. Als Hersteller müssen Sie den Kunden das Update liefern oder freigeben, mit Blick auf den CRA am besten dokumentiert.
Empfehlung: Auslieferungsstände abgleichen, FW32 4.10.4 testen und freigeben, sobald WAGO sie bereitstellt (für FW31 gibt es einen IPK-Patch). Bis dahin den Webserver über die Sicherheitseinstellungen abschalten, wie WAGO es empfiehlt.

### L-04 Phoenix Contact PLCnext Engineer: GSDX-Signaturen werden nicht geprüft, Plug-in-Validierung umgehbar (VDE-2026-121)
MITTEL · CERT@VDE (VDE-2026-121), 04.11. (https://certvde.com/en/advisories/VDE-2026-121/)
Was ist neu: Betroffen sind alle Versionen von PLCnext Engineer vor 2026.6, mit drei CVEs (CVE-2026-110935 und CVE-2026-110022 mit CVSS 8,4, CVE-2026-110021 mit CVSS 6,2). Manipulierte GSDML-Gerätebeschreibungen können als gültig erscheinen, und präparierte Plug-ins können Code im Kontext des Nutzers ausführen.
Bedeutung: Gerätebeschreibungen und Plug-ins sind eine Lieferkette direkt in die Steuerung. Eine gefälschte GSDX-Datei kann in Projekte und auf PROFINET-Controller gelangen, ohne dass die Signaturprüfung anschlägt.
Empfehlung: Engineering-Arbeitsplätze auf 2026.6 bringen und Plug-ins sowie GSD-Dateien nur aus geprüften Herstellerquellen beziehen. Bis zum Update GSDX-Signaturen mit externen Werkzeugen prüfen, wie Phoenix Contact rät.

### L-05 Phoenix Contact: CodeMeter-Runtime-Lücken in Software-Tools (VDE-2026-098, bis CVSS 8,6)
MITTEL · CERT@VDE (VDE-2026-098), 04.11. (https://certvde.com/en/advisories/VDE-2026-098/)
Was ist neu: Fünf CVEs in der CodeMeter Runtime betreffen Tools wie Activation Wizard, PLCnext Engineer, IO-Link ENGINEER und MTP DESIGNER. Im Servermodus können Angreifer aus der Ferne Konfigurationsdaten lesen und Server.ini überschreiben (CVE-2026-81573, CVSS 8,6). Phoenix-Contact-Fixes sollen im Q4 2026 folgen.
Bedeutung: CodeMeter von WIBU-SYSTEMS wird auch von vielen anderen Herstellern zur Lizenzierung eingesetzt und läuft auf Service-Laptops, die in Kundennetze gehen. Eigene Produkte mit CodeMeter gehören deshalb ins SBOM-Review.
Empfehlung: CodeMeter Runtime direkt von WIBU-SYSTEMS aktualisieren und den Netzwerkserver abschalten, wo er nicht gebraucht wird (ab 9.00: cmu --disable-network-server). Eigene SBOMs auf CodeMeter prüfen.

## Trends

- Angreifer zielen gezielt auf Edge-Geräte und Gateways in Maschinen (IoT2050/Node-RED, Industrial Edge, Router), weil diese oft offen und lange ungepatcht im Feld stehen.
- Fernwartungsdienstleister werden zum Sammelzugang: Ein kompromittierter Service öffnet viele Kundenanlagen auf einmal, wie bei den Kühlanlagen.
- Lücken in Fremdkomponenten (PHP, Brotli, CodeMeter, CODESYS) kommen bei vielen Herstellern gleichzeitig an, ohne SBOM fehlt der Überblick.
- Engineering-Werkzeuge und Gerätebeschreibungen (GSDX, Plug-ins) werden zur Lieferkette in die Steuerung.
- Seit dem 11.09.2026 gilt die CRA-Meldepflicht für aktiv ausgenutzte Schwachstellen, Fälle wie IoT2050 sind für Hersteller die Probe dafür.
## Fragen für das nächste Jour fixe

- Wissen wir, bei welchen Kunden IoT2050 mit Node-RED, WAGO-PFC oder Welotec-Router aus unseren Lieferungen laufen, und in welchem Firmware-Stand?
- Wer entscheidet bei uns innerhalb von 24 Stunden, ob eine aktiv ausgenutzte Lücke in unserem Produkt nach CRA an die ENISA-Plattform gemeldet wird?
- Läuft unsere Fernwartung mit MFA, Freigabe durch den Kunden je Sitzung und getrennten Zugangsdaten je Kunde?
- Stehen CodeMeter, PHP und Brotli in unseren SBOMs, und wer prüft neue Advisories dagegen?
- Woher beziehen unsere Engineers GSD-Dateien und Plug-ins, und wird die Herkunft geprüft?
## Maßnahmen dieser Woche

- Installierte Basis an IoT2050 Advanced mit Node-RED ermitteln, Kunden zum Update auf V4.3.4-1 anschreiben und erreichbare Geräte auf fremde Flows prüfen.
- In Industrial-Edge-Projekten die betroffenen Management-Apps nach SSA-443410 entfernen (fünf) bzw. stoppen (zwei) und das IEM per Firewall abschirmen.
- WAGO-Steuerungen in Kundenprojekten auf FW32 4.10.4 planen, bis dahin den Webserver abschalten, wo er nicht gebraucht wird.
- Fernwartungsportal prüfen: MFA, Sitzungsfreigabe, Protokolle der letzten 30 Tage, gemeinsam genutzte Service-Passwörter entfernen.
- PLCnext Engineer auf 2026.6 und CodeMeter Runtime auf V8.41a/V9.10 aktualisieren, Netzwerkserver von CodeMeter abschalten.
- Ablauf für die CRA-Meldung (Frühwarnung innerhalb von 24 Stunden) an einem Fall wie IoT2050 durchspielen.
## Empfehlungen

- HOCH · Fernwartungsplattform härten: MFA, Kundenfreigabe je Sitzung, eigene Zugangsdaten je Kunde, Protokolle auswerten [CC4 Secure Remote Access] (sofort)
- HOCH · Industrial-Edge-Instanzen nach SSA-443410 absichern und das IEM vom übrigen Netz trennen [CC2 Defensible Architecture] (sofort)
- MITTEL · Freigabeprozess für Firmware-Updates (WAGO FW32, Welotec, PLCnext) mit SBOM-Abgleich und Kundeninformation aufbauen [CC5 Risk-Based Vulnerability Management] (0 bis 3 Monate)Vollständiger Bericht als PDF (/berichte/woche-maschinenbau-kw-45-2026/2026-11-06_OT-Cyber-Wochenbericht_maschinenbau.pdf)
[Bild: Max Gilg]Über den Autor
Max Gilg ist OT-Cybersecurity-Experte aus Rosenheim und in der Anlagentechnik zu Hause, dort, wo IT die echte Welt sabotiert. Seit über 15 Jahren schützt er Strom, Wasser und Industrie, herstellerunabhängig. Sein Team aus Elektrikern, Elektronikern, Informatikern, Incident Respondern und Auditoren setzt den Schutz vor Ort um. Mehr über Max Gilg → (/max-gilg/)