OT-Lage vom 09.10.2026

Tagesbericht · aktuelle Lage

Automatisch zusammengestellt aus öffentlichen Quellen – ohne Gewähr. Einordnung und Beratung: OT-Cyber.de

📄 Lagebild als PDF herunterladen

🛡 OT-Briefing 09.10.2026

• [Relevanz hoch] Red Lion N-Tron 700: sieben Lücken in Industrial-Ethernet-Switches (ICSA-26-281-01, 08.10.) – Betroffen sind Firmware bis 3.11.0 und Bootloader bis 2.0.6.1. Über SNMP sind Admin-Aktionen ohne Authentisierung möglich, etwa Konfiguration auslesen, Konten ändern oder Firmware tauschen (CVE-2026-33367, CVSS v4 9,3). Zugangsdaten liegen im Klartext in der Konfiguration und lassen sich per TFTP exportieren, den Export kann SNMP ohne Authentisierung anstoßen (CVE-2026-39460, CVSS v4 9,3). Ab Werk gesetzte Admin-Zugangsdaten bleiben aktiv (CVE-2026-32645, CVSS v4 9,2), Firmware-Updates verlangen keine Authentisierung (CVE-2026-29797), und ein bestimmter URL-Aufruf startet den Switch neu, was sich zu einer Reboot-Schleife (Denial of Service) skripten lässt (CVE-2026-39453). Eine Ausnutzung ist laut CISA nicht bekannt. Abhilfe: Firmware 3.11.1 oder neuer, bis dahin SNMP-Communities härten oder abschalten und den Web-Zugang sperren. Unsere Einschätzung: Diese Switches stecken oft im Kern von Anlagennetzen – Bestand im Asset-Inventar prüfen. Quellen: https://www.cisa.gov/news-events/ics-advisories/icsa-26-281-01 · https://www.assurantcyber.com/blog/icsa-26-281-01/ · https://www.strix.ai/cve/CVE-2026-33367

• [Relevanz hoch] openPDC und openHistorian: Remote Code Execution und festes Admin-Passwort im Docker-Image (ICSA-26-281-02, 08.10.) – Sechs Lücken in der Software der Grid Protection Alliance, CISA nennt den Sektor Energie. Die kritischsten: Deserialisierung mit Remote Code Execution (CVE-2026-100730, CVSS 9,8), behoben in openPDC 2.9.482 und openHistorian 2.8.585, sowie ein festes Admin-Passwort im openPDC-Docker-Image (CVE-2026-105278, CVSS 9,8). Für das Docker-Image ist kein Fix geplant; der Hersteller rät ohnehin vom Produktivbetrieb der Docker-Images ab. Die Datenpublisher nehmen standardmäßig Verbindungen ohne Authentisierung an; der sichere Standard (nur loopback) gilt nur für Neuinstallationen – bestehende Installationen von Hand prüfen. Quellen: https://www.cisa.gov/news-events/ics-advisories/icsa-26-281-02 · https://securityonline.info/openpdc-openhistorian-vulnerabilities/ · https://www.strix.ai/cve/CVE-2026-100730

• [Relevanz mittel] Satel Netco Design: vier Lücken, alle nur mit Konto ausnutzbar (ICSA-26-281-03, 08.10.) – Betroffen sind alle Versionen vor 2.1.7. Die höchste Bewertung hat ein Path Traversal beim Datenexport (CVE-2026-101024, CVSS v3.1 8,8), dazu kommen Stored XSS (CVE-2026-105269, CVSS v4 8,5), ein weiteres Path Traversal und ein ReDoS. Für alle braucht der Angreifer mindestens Leserechte. Abhilfe: Update auf 2.1.7. Quellen: https://www.cisa.gov/news-events/ics-advisories/icsa-26-281-03 · https://www.strix.ai/cve/CVE-2026-101024

• [Relevanz mittel] Internationale Warnung vor China-nahen Angreifern rund um „Integrity Tech“, auch gegen Critical Manufacturing (AA26-281A, 08.10.) – FBI, CISA, NSA und Partnerbehörden aus Großbritannien, Australien, Kanada, Japan, Neuseeland und Spanien beschreiben Akteure, deren Vorgehen Flax Typhoon ähnelt. Sie nutzen Password Spraying gegen Exchange und Microsoft 365, alte Lücken wie Pulse Connect Secure (CVE-2019-11510) und SoftEther-VPN-Clients für dauerhaften Fernzugriff, getarnt als „conhost.exe“ oder „dllhost.exe“. OT-Systeme nennt die Warnung nicht. Unsere Einschätzung: Threat Hunting nach SoftEther-Clients und unbekannten VPN-Tunneln auf Jump Hosts und in der DMZ, MFA für Remote Access durchsetzen (SANS CC4 – Secure Remote Access). Quellen: https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-281a · https://www.picussecurity.com/resource/blog/cisa-aa26-281a-how-chinese-government-linked-actors-steal-sensitive-data · https://www.ic3.gov/CSA/2026/261008.pdf