# OT-Learnings KW 41: FortiBleed, Gateways & SBOM

Von Max Gilg · 12.10.2026 · 5 Min. Lesezeit

Kurz gesagt: KW 41: Zugangsdaten statt Zero-Days, verwundbare Gateways und RTUs, fehlende SBOM – die 3 OT-Learnings und was Versorger in DACH jetzt tun sollten.
In KW 41 kam die größte Gefahr für Stadtwerke, Wasserversorger und Netzbetreiber in Deutschland, Österreich und Bayern nicht von einem neuen Zero-Day. Sie kam von gestohlenen Zugangsdaten an Firewalls, VPNs und Fernwartungs-Gateways. Wer jetzt Admin-Konten prüft, die Firmware an der Grenze zwischen Leittechnik und Feldebene aktualisiert und von Lieferanten eine SBOM verlangt, schließt die drei wichtigsten Lücken der Woche. Einen öffentlich bestätigten neuen OT-Angriff auf Stadtwerke oder Wasserversorger in DACH habe ich für den 02.–09.10. nicht gefunden. Das ist der richtige Moment, die Hausaufgaben zu machen.

[Bild: Infografik: OT-Learnings KW 41: FortiBleed, Gateways & SBOM]

## Learning 1: Gestohlene Zugangsdaten sind gefährlicher als jeder Zero-Day

Was ist passiert: FBI und Secret Service warnen vor der weiterhin aktiven FortiBleed-Kampagne gegen FortiGate-Firewalls und SSL-VPNs (IC3-Dokument vom 06.10. (https://www.ic3.gov/CSA/2026/261006.pdf), Lage vom 06.10. (https://ot-cyber.de/ot-lage/2026-10-06.html)). Die Angreifer kommen per Credential Stuffing, Password Spraying oder Brute Force hinein, legen eigene Admin-Konten an und sperren die echten Administratoren aus. Danach verkaufen sie den Zugang über Initial Access Broker an Ransomware-Affiliates. SOCRadar zählt über 86.000 kompromittierte Geräte in 194 Ländern, CISA nennt rund 74.000 Geräte mit geleakten Zugangsdaten. Beide Zahlen sind Schätzungen mit unterschiedlicher Zählweise (The Record (https://therecord.media/fortibleed-warning-fbi-secret-service)). Dazu kommt die SSRF-Lücke CVE-2026-102255 im Remote-Access-Gateway SonicWall SMA1000 (BleepingComputer (https://www.bleepingcomputer.com/news/security/sonicwall-warns-of-max-severity-ssrf-flaw-in-sma1000-gateways/), Lage vom 07.10. (https://ot-cyber.de/ot-lage/2026-10-07.html)).

Was wir daraus lernen: Gegen FortiBleed hilft kein Patch, denn hier wird keine Software-Lücke ausgenutzt, sondern schwache oder geleakte Zugangsdaten. Bei vielen Stadtwerken und Wasserverbänden steht genau diese FortiGate vor Fernwartung und Leittechnik. Ein übernommener Admin-Zugang ist damit der direkte Weg zu Lateral Movement in die OT. Das ist SANS Critical Control 4: Secure Remote Access.

So sind Sie sicher:
- Alle Fortinet-Konten auf unbekannte Admins prüfen, Admin- und VPN-Passwörter zurücksetzen und aktive Sessions beenden.
- Phishing-resistente MFA einschalten und die Admin-Oberfläche aus dem Internet nehmen.
- Den SMA1000-Hotfix sofort einspielen und klären, ob Ihre Dienstleister SMA1000 für den Remote Access in Ihre Anlagen nutzen.
- Zugriffskontrolle und Authentisierung als NIS2-Pflicht und nach IEC 62443 dokumentieren. Dabei unterstützt die OT-Security-Beratung (/leistungen/ot-security-beratung/).

## Learning 2: Gateways und RTUs zwischen Leittechnik und Feldebene brauchen einen Firmware-Plan

Was ist passiert: Moxa hat am 02.10. zwei Lücken in MGate-Protokoll-Gateways veröffentlicht (MPSA-269540 (https://www.moxa.com/en/support/product-support/security-advisory/mpsa-269540-cve-2026-86325,-cve-2026-86326-two-vulnerabilities-in-protocol-gateways), Lage vom 02.10. (https://ot-cyber.de/ot-lage/2026-10-02.html)). Bei CVE-2026-86325 (CVSS 4.0: 9,4) reicht schon ein Konto mit reinen Leserechten. Laut Moxa können Angreifer damit Zugangsdaten aus dem Speicher lesen, den Speicher verändern und das Gerät lahmlegen. Für CVE-2026-86326 (CVSS 8,6, fehlende Prüfung der Firmware-Signatur) gibt es noch keinen Patch. Am 06.10. folgte ICSA-26-279-06 zur Hitachi Energy RTU500 (CISA (https://www.cisa.gov/news-events/ics-advisories/icsa-26-279-06)). Darin stehen sechs CVEs in der CMU-Firmware 11.x und älter, unter anderem CVE-2026-8065 (fehlende Authentisierung, CVSS 9,1). Diese Firmware ist End-of-Life. Abhilfe bringt nur das Upgrade auf 12.7.8 oder 13.9.1. Für keine der Lücken ist bisher eine Ausnutzung bekannt.

Was wir daraus lernen: Die kritischsten Geräte sitzen in Umspannwerken, Pumpwerken und der Fernwirktechnik genau an der Schnittstelle zum Prozess, und oft läuft dort noch Firmware ohne Support. Wer nicht weiß, welcher Stand im Feld läuft, kann nicht nach Risiko priorisieren. Hier greifen SANS Control 5 (Risk-Based Vulnerability Management) und Control 2 (Defensible Architecture).

So sind Sie sicher:
- Im Asset-Inventar nach MGate-Geräten und nach RTU500 mit CMU-Firmware 11.x oder älter suchen. Das geht schnell mit einem OT-Asset-Inventar (/leistungen/ot-asset-inventar/).
- Firmware-Updates und das RTU500-Upgrade mit dem Hersteller in Wartungsfenstern einplanen, damit die Verfügbarkeit nicht leidet.
- Management-Oberflächen per Segmentierung nur aus einem Management-Netz erreichbar machen (Zonen und Conduits nach IEC 62443).
- Read-only-Konten reduzieren und Firmware ausschließlich aus Herstellerquellen einspielen. Bei der Priorisierung hilft das OT-Schwachstellen-Management (/leistungen/ot-schwachstellen-management/).

## Learning 3: Was nicht im Inventar steht, kann niemand patchen

Was ist passiert: CISA meldet mit ICSA-26-279-02 vom 06.10. die Lücke CVE-2026-15340 (CVSS 3.1: 9,8) im SMTP-Client von lwIP 2.2.1 und nennt ausdrücklich die Sektoren Energie und Wasser/Abwasser (CISA (https://www.cisa.gov/news-events/ics-advisories/icsa-26-279-02), Lage vom 06.10. (https://ot-cyber.de/ot-lage/2026-10-06.html)). Den Fix gibt es bisher nur als Git-Commit, die Gerätehersteller müssen ihn erst in ihre Firmware einbauen. Am 08.10. kam VDE-2026-105 dazu (CERT@VDE (https://certvde.com/en/advisories/VDE-2026-105/)): Über CODESYS-Lücken in der KEB COMBIVIS Control Runtime lassen sich Zertifikate und private Schlüssel lesen und überschreiben (CVE-2025-41659, CVSS 8,3). Behoben ist das in Version 2.1.0.

Was wir daraus lernen: lwIP steckt in Datenloggern, Sensoren und Fernwirk-Modems, die zum Beispiel Alarm-Mails verschicken. CODESYS läuft in Steuerungen, die im Inventar unter dem Namen des OEM geführt werden. Ohne SBOM weiß kein Betreiber, ob er betroffen ist. Der CRA verpflichtet Hersteller, die Komponenten ihrer Produkte zu dokumentieren. Betreiber und Einkäufer sollten das jetzt aktiv einfordern.

So sind Sie sicher:
- Lieferanten schriftlich nach SBOM und Betroffenheit von lwIP und CODESYS fragen.
- Nicht benötigte SMTP-Funktionen abschalten und SMTP aus dem OT-Netz nur zu definierten Relays zulassen.
- CODESYS-basierte Runtimes suchen (nicht nur von KEB), KEB auf 2.1.0 aktualisieren und danach die Zertifikate tauschen, falls ein Zugriff nicht auszuschließen ist.
- SBOM und Patch-Zusagen als feste Anforderung in jede Ausschreibung für Maschinen und Anlagen schreiben. Unterstützung gibt es mit CRA as a Service (/leistungen/cra-as-a-service/).

[Bild: Diagramm: CVSS-Werte der OT-Schwachstellen in KW 41 (Quelle: CISA ICSA-26-279-02/-06, Moxa MPSA-269540, CERT@VDE VDE-2026-105)]

## Checkliste zum Abhaken

☐ FortiGate- und VPN-Konten auf fremde Admins geprüft, Passwörter zurückgesetzt, MFA aktiv
☐ Admin-Oberflächen von Firewall, VPN und Mail-Gateway nicht mehr aus dem Internet erreichbar
☐ FortiMail (CVE-2026-104286): vor dem Patch nach IoCs gesucht, auf 7.6.7/7.4.9 aktualisiert bzw. 7.2 migriert
☐ SMA1000-Hotfix eingespielt und Fernwartungswege der Dienstleister geklärt
☐ MGate- und RTU500-Bestand im Asset-Inventar erfasst, Upgrades terminiert
☐ SBOM-Anfrage an alle Lieferanten von Feldgeräten und Steuerungen verschickt
☐ SMTP aus dem OT-Netz auf definierte Relays beschränkt

## Fazit

Ich bin Max Gilg, OT-Cybersecurity-Experte aus Rosenheim, und mein Eindruck nach dieser Woche ist eindeutig: Die Angreifer brauchen keine neuen Lücken, solange alte Passwörter und alte Firmware ihnen die Tür aufhalten. „Schützen Sie zuerst Ihren Remote Access und kennen Sie Ihre Geräte bis zur Firmware-Version. Das verhindert mehr Stillstand als jedes neue Tool.“ Mit KI und dem Fokus auf die fünf SANS ICS Critical Controls schaffen das auch kleine Teams in Bayern, Salzburg und Tirol.

[Bild: Schema: Drei Hausaufgaben für Betreiber nach KW 41]

## Die Lage-Reports dieser Woche

- OT-Lage vom 02.10.2026 (https://ot-cyber.de/ot-lage/2026-10-02.html)

- OT-Lage vom 03.10.2026 (https://ot-cyber.de/ot-lage/2026-10-03.html)

- OT-Lage vom 04.10.2026 (https://ot-cyber.de/ot-lage/2026-10-04.html)

- OT-Lage vom 05.10.2026 (https://ot-cyber.de/ot-lage/2026-10-05.html)

- OT-Lage vom 06.10.2026 (https://ot-cyber.de/ot-lage/2026-10-06.html)

- OT-Lage vom 07.10.2026 (https://ot-cyber.de/ot-lage/2026-10-07.html)

- Aktuelle OT-Lage für Deutschland, Österreich und Bayern (/ot-lage/)

## Häufige Fragen

**Wie schütze ich unsere FortiGate vor der FortiBleed-Kampagne?**
Prüfen Sie alle Konten auf unbekannte Admins, setzen Sie Admin- und VPN-Passwörter zurück und beenden Sie aktive Sessions. Danach phishing-resistente MFA einschalten und die Admin-Oberfläche aus dem Internet nehmen. Ein Patch allein hilft nicht, weil die Angreifer mit gültigen Zugangsdaten arbeiten.

**Darf der Servicetechniker per Fernwartung über die Firewall auf die SPS zugreifen?**
Ja, aber nur über einen kontrollierten Remote Access mit eigenem Konto, MFA und Freigabe durch den Betreiber, idealerweise über einen Jump Host in einem Management-Netz. Klären Sie diese Woche außerdem, ob Ihr Dienstleister Gateways wie SonicWall SMA1000 nutzt und ob der Hotfix eingespielt ist.

**Wie finde ich heraus, ob unsere Feldgeräte von der lwIP-Lücke betroffen sind?**
Ohne SBOM ist das kaum möglich. Fragen Sie Ihre Lieferanten schriftlich nach SBOM und Betroffenheit von CVE-2026-15340 und schreiben Sie SBOM-Pflicht und Patch-Zusagen in künftige Ausschreibungen. Bis dahin hilft es, nicht benötigte SMTP-Funktionen abzuschalten und SMTP nur zu definierten Relays zuzulassen.

## Quellen

- therecord.media (https://therecord.media/fortibleed-warning-fbi-secret-service)
- www.ic3.gov (https://www.ic3.gov/CSA/2026/261006.pdf)
- www.cybersecuritydive.com (https://www.cybersecuritydive.com/news/fbi-fortibleed-credential-harvesting-attacks/832366/)
- thehackernews.com (https://thehackernews.com/2026/10/fbi-warns-fortibleed-remains-active.html)
- www.bleepingcomputer.com (https://www.bleepingcomputer.com/news/security/sonicwall-warns-of-max-severity-ssrf-flaw-in-sma1000-gateways/)
- www.moxa.com (https://www.moxa.com/en/support/product-support/security-advisory/mpsa-269540-cve-2026-86325,-cve-2026-86326-two-vulnerabilities-in-protocol-gateways)
- www.cisa.gov (https://www.cisa.gov/news-events/ics-advisories/icsa-26-279-06)
- app.opencve.io (https://app.opencve.io/cve/CVE-2026-8065)
- www.cisa.gov (https://www.cisa.gov/news-events/ics-advisories/icsa-26-279-02)
- certvde.com (https://certvde.com/en/advisories/VDE-2026-105/)
- hard2bit.com (https://hard2bit.com/en/blog/fortimail-zero-day-cve-2026-104286-patch-iocs/)
[Bild: Max Gilg]Über den Autor
Max Gilg ist OT-Cybersecurity-Experte aus Rosenheim und in der Anlagentechnik zu Hause – dort, wo IT die echte Welt sabotiert. Seit über 15 Jahren schützt er Strom, Wasser und Industrie (heute mit Dragos, zuvor u. a. Claroty, Stadtwerke Rosenheim) und ordnet für Redaktionen Angriffe und unklare Schadensereignisse ein – kurzfristig, auch live aus dem Studio in Rosenheim. Mehr über Max Gilg → (/max-gilg/)
← Alle Artikel (/blog/)
Zuletzt aktualisiert: 12.10.2026
Seite teilen: LinkedIn (https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Fot-cyber.de%2Fblog%2Fot-learnings-kw-41-fortibleed-gateways-sbom.html)XING (https://www.xing.com/spi/shares/new?url=https%3A%2F%2Fot-cyber.de%2Fblog%2Fot-learnings-kw-41-fortibleed-gateways-sbom.html)Facebook (https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Fot-cyber.de%2Fblog%2Fot-learnings-kw-41-fortibleed-gateways-sbom.html)X (https://twitter.com/intent/tweet?url=https%3A%2F%2Fot-cyber.de%2Fblog%2Fot-learnings-kw-41-fortibleed-gateways-sbom.html&text=OT-Learnings%20KW%2041%3A%20FortiBleed%2C%20Gateways%20%26%20SBOM)WhatsApp (https://wa.me/?text=OT-Learnings%20KW%2041%3A%20FortiBleed%2C%20Gateways%20%26%20SBOM%20https%3A%2F%2Fot-cyber.de%2Fblog%2Fot-learnings-kw-41-fortibleed-gateways-sbom.html)E-Mail (mailto:?subject=OT-Learnings%20KW%2041%3A%20FortiBleed%2C%20Gateways%20%26%20SBOM&body=https%3A%2F%2Fot-cyber.de%2Fblog%2Fot-learnings-kw-41-fortibleed-gateways-sbom.html)