OT-Lage vom 03.10.2026

Automatisch zusammengestellt aus öffentlichen Quellen – ohne Gewähr. Einordnung und Beratung: OT-Cyber.de

• [Relevanz hoch] Citrix NetScaler: neuer Zero-Day trifft auch gepatchte Geräte – Seit dem Abend des 02.10. wird eine weitere Lücke ausgenutzt. Laut Kevin Beaumont bringen massenhaft gesendete SAML-Anfragen die Geräte zum Absturz oder führen Code aus. Seine Honeypots waren bereits gegen CVE-2026-88771/-88772 gepatcht und bekamen trotzdem Webshells. Eine CVE und einen Patch gibt es noch nicht. Citrix bestätigt ein eigenständiges Problem bei Gateway/AAA mit SAML-Anmeldung und verweist bisher nur an den Support. Wer NetScaler für den Fernzugang von Dienstleistern oder Leitstellen nutzt, sollte die SAML-Konfiguration prüfen, nach Webshells suchen und den Zugang notfalls vom Netz nehmen. Quelle: https://www.heise.de/news/Netscaler-Admins-aufgepasst-Zero-Day-verursacht-Crashes-und-Codeausfuehrung-11474971.html

• [Relevanz hoch] Warlock-Ransomware trifft einen Wasserversorger über alte SharePoint-Lücken – Symantec hat am 01.10. gemeldet, dass die China-nahe Gruppe Longlegs (Storm-2603) in den letzten zwei Monaten mindestens vier Organisationen angegriffen hat, darunter einen Wasserversorger und einen Telekommunikationsanbieter. The Record hat am 02.10. darüber berichtet. Die Opfer liegen in spanisch- und portugiesischsprachigen Ländern in Europa, Afrika und Lateinamerika. Der Einstieg lief über die „ToolShell“-Lücken in On-Premises-SharePoint (CVE-2025-49704, -49706, -53770, -53771). Vom ersten Webshell-Zugriff am 22.07. bis zur Verschlüsselung vergingen etwa zehn Tage. Am 31.07. waren dann innerhalb von zwei Stunden mehr als 33 Rechner verschlüsselt. Vorher hatten die Angreifer auf mindestens 40 Systemen die Sicherheitssoftware abgeschaltet. Auswirkungen auf die OT nennt Symantec ausdrücklich nicht. Für Versorger in DACH heißt das: SharePoint-Server vor Ort, auf denen oft die Anlagendokumentation liegt, patchen oder vom Internet nehmen und die Segmentierung zwischen IT und OT prüfen. Quelle: https://www.security.com/threat-intelligence/warlock-ransomware-critical-infrastructure · https://therecord.media/warlock-ransomware-used-in-critical-infrastructure-attacks

• [Relevanz hoch] Fortinet FortiMail: Zero-Day ohne Anmeldung wird ausgenutzt, Patch fehlt noch – Über CVE-2026-104286 (CVSS 9,8, FG-IR-26-175) können Angreifer ohne Anmeldung beliebige Dateien schreiben und Code ausführen. Betroffen sind die Zweige 7.2 bis 8.0. CISA hat die Lücke am 01.10. in den KEV-Katalog aufgenommen. Bis zum Update hilft nur, die IBE-Funktion abzuschalten und das Management-Interface aus dem Internet zu nehmen. Bei Stadtwerken ist FortiMail oft das zentrale Mail-Gateway und damit ein guter Startpunkt für Phishing und Lateral Movement Richtung OT. Die Meldung ist seit 01.10. bekannt und stand möglicherweise schon in einem früheren Briefing. Quelle: https://www.heise.de/news/FortiMail-Angriffe-auf-Zero-Day-Luecke-laufen-Workaround-verfuegbar-11473599.html

• [Relevanz mittel] CODESYS: zwei Lücken in Gateway und Control Runtime, BSI-Warnung vom 02.10. – Mit CVE-2026-76992 (CVSS 7,5) kann ein bösartiges Gateway den Gateway Client ohne Anmeldung per Speicherüberlauf lahmlegen. Das betrifft auch das Development System und HMI. Mit CVE-2026-79625 (CVSS 8,1) kann ein angemeldeter Nutzer mit Monitoring-Rechten über eine Race Condition Speicher in der SPS-Runtime beschädigen. CODESYS steckt in vielen Steuerungen in DACH-Anlagen, zum Beispiel bei WAGO und auf Linux- oder Raspberry-Pi-Runtimes. Für diese Runtimes kommt der Fix (Version 4.23.0.0) erst im 4. Quartal. Bis dahin sollte nur geprüfte Engineering-Hardware Zugang haben, und das Monitoring sollte auf wenige Konten beschränkt werden. Quelle: https://certvde.com/en/advisories/VDE-2026-094/

• [Relevanz mittel] WatchGuard Fireware OS: 15 Lücken in den Firewalls, eine kritisch – CVE-2026-86131 (CVSS 9,2) erlaubt Remote Code Execution über den BOVPN-over-TLS-Client. Dazu kommen Buffer Overflows und ein SAML-Auth-Bypass. Ausgenutzt wird bisher nichts. Bei Zweckverbänden sichern diese Firewalls oft die Grenze zwischen IT und OT oder die VPN-Strecken zu Außenstellen, deshalb sollten sie zügig aktualisiert werden. Quelle: https://www.heise.de/news/WatchGuard-schliesst-teils-kritische-Luecken-in-Fireware-OS-11472101.html

• [Relevanz mittel] ABB PCM600: Rechteausweitung im Engineering-Tool für Schutzgeräte (CISA ICSA-26-274-03, 01.10.) – Betroffen sind Version 2.14 und älter (CVE-2026-15952, CVSS v4 7,1, und CVE-2026-15953, CVSS v4 5,6). Angreifer können sich höhere Rechte verschaffen oder per Path Traversal Dateien überschreiben. Einen Patch nennt die Advisory nicht, nur Konfigurationsmaßnahmen: den Scheduler-Dienst unter dem PCM600-Konto betreiben und die IED-Authentifizierung aktivieren. PCM600 ist bei Netzbetreibern und Stadtwerken für Schutz- und Leittechnik nach IEC 61850 verbreitet, deshalb sollten die Engineering-Stationen gehärtet werden. Quelle: https://www.cisa.gov/news-events/ics-advisories/icsa-26-274-03

• [Relevanz mittel] Johnson Controls EasyIO Neo: Zugangsdaten gehen im Klartext übers Netz (CISA ICSA-26-274-04/-05, 01.10.) – Bei den Controllern EC (V3.3b62/63) und CW (V3.3b24/25) laufen Zugangsdaten und Session-Daten unverschlüsselt über HTTP (CVE-2026-64893, CVSS 5,4). Eine zweite Lücke (CVE-2026-64892) legt sensible Informationen offen. Behoben ist das in EC V3.3b64 und CW V3.3b26. Betroffen ist die Gebäudeautomation in Betriebsgebäuden, Leitstellen und Klärwerken, die oft per Fernwartung von Dienstleistern betreut wird. Quelle: https://www.cisa.gov/news-events/ics-advisories/icsa-26-274-05 · https://www.cisa.gov/news-events/ics-advisories/icsa-26-274-04

• [Relevanz mittel] TDengine: Ein einziges Paket bringt die Zeitreihen-Datenbank zum Absturz (CVE-2026-42542, CVSS 7,5) – Ein Integer-Underflow in der RPC-Verarbeitung erlaubt schon vor der Anmeldung einen Denial of Service über TCP 6030. Betroffen sind die Versionen 3.4.0.0 bis 3.4.1.5, behoben ist es in 3.4.1.6. Es gibt einen Proof of Concept, ausgenutzt wird die Lücke laut RedSeal bisher nicht. TDengine dient in Energie- und Versorgungsumgebungen als Historian. Fällt er aus, verliert die Leitstelle die Sicht auf ihre Anlagen. Die Lücke wurde schon am 29.09. veröffentlicht, ist also älter als 24 Stunden. Quelle: https://www.redseal.net/tdengine-cve-2026-42542-ot-iot-security/ · https://app.opencve.io/cve/CVE-2026-42542

Thema für LinkedIn: „Ein Jahr alte SharePoint-Lücke, zehn Tage, zwei Stunden: So verschlüsselte Warlock einen Wasserversorger.“ Dazu passt NetScaler, wo der Fernzugang trotz Patch wieder übernommen wird. Die Botschaft: Ungepatchte oder nur gepatchte IT ist der bequemste Weg zur OT der Daseinsvorsorge, deshalb nach Kompromittierung suchen und segmentieren statt nur patchen.