# OT-Lage vom 11.11.2026
Tagesbericht · aktuelle Lage (/ot-lage/)
Automatisch zusammengestellt aus öffentlichen Quellen, ohne Gewähr. Einordnung und Beratung: OT-Cyber.de (/)
📄 Lagebild als PDF herunterladen (/ot-lage/2026-11-11.pdf)
• [Relevanz hoch] **Helmholz myREX24V2 und myREX24V2.virtual: zwölf Lücken, darunter XSS mit CVSS 9,3 (CERT@VDE VDE-2026-141, 10.11.)**: Laut CERT@VDE könnten die Lücken Remote Code Execution, DoS oder das Abfließen von Informationen erlauben. Betroffen ist die Firmware vor 2.21.0 (CVE-2026-60035 bis CVE-2026-60046). Ohne Anmeldung möglich sind XSS gegen angemeldete Benutzer (CVE-2026-60043, CVSS 3.1: 9,3), CSRF (CVE-2026-60041, 8,1) und eine Passwort-Wiederherstellung ohne Rate Limiting (CVE-2026-60046, 7,5). Backups sind mit einem festen Passwort geschützt (CVE-2026-60044, 7,5). Wer hohe Rechte hat, kann über fünf Wege OS-Befehle einschleusen (je 7,2). Zu einer Ausnutzung sagt das Advisory nichts. myREX24 ist ein Fernwartungsportal, über das Maschinenbauer und Integratoren auf Anlagen ihrer Kunden zugreifen. Wer es selbst betreibt oder darüber Pumpwerke, Kläranlagen oder Maschinen in Bayern, Salzburg und Tirol fernwarten lässt, sollte das Update einplanen, am besten gleich auf 2.21.6 (siehe nächste Meldung). Das gehört zu CC4 Secure Remote Access der SANS Five ICS Critical Controls. Quelle: https://www.certvde.com/en/advisories/VDE-2026-141/ (https://www.certvde.com/en/advisories/VDE-2026-141/) Schritt 5: Schwachstellen im Griff (/schritte/schwachstellen/)Schritt 4: Fernzugang absichern (/schritte/fernzugang/)
• [Relevanz hoch] 🔄 UPDATE: **Helmholz myREX24V2 und myREX24V2.virtual: php2shell, Fix erst mit 2.21.6 (CERT@VDE VDE-2026-160, 10.11.)**: Betroffen ist die Firmware vor 2.21.6. Die schwerere der beiden Lücken (CVE-2026-109619, CVSS 3.1: 8,1) ist ein Use After Free, der ohne Anmeldung über das Netz erreichbar ist. Die zweite (CVE-2026-109618, 5,3) kann den Dienst stören. Zu einer Ausnutzung sagt das Advisory nichts. Die zwölf Lücken aus der vorigen Meldung sind ab 2.21.0 behoben, ein Update auf 2.21.6 deckt also beide Advisories ab. Quelle: https://www.certvde.com/en/advisories/VDE-2026-160/ (https://www.certvde.com/en/advisories/VDE-2026-160/)
(Erstmeldung am 27.10.2026: https://ot-cyber.de/ot-lage/2026-10-27.html (https://ot-cyber.de/ot-lage/2026-10-27.html)) Schritt 5: Schwachstellen im Griff (/schritte/schwachstellen/)
[Bild: Max Gilg]Über den Autor
Max Gilg ist OT-Cybersecurity-Experte aus Rosenheim und in der Anlagentechnik zu Hause, dort, wo IT die echte Welt sabotiert. Seit über 15 Jahren schützt er Strom, Wasser und Industrie, herstellerunabhängig. Sein Team aus Elektrikern, Elektronikern, Informatikern, Incident Respondern und Auditoren setzt den Schutz vor Ort um. Mehr über Max Gilg → (/max-gilg/)