Authentifizierungsfehler in PowerChute ermöglicht unbegrenzt viele Anmeldeversuche

Über das Netzwerk erreichbare Schwachstelle betrifft Software zur USV-Verwaltung

Schneider Electric hat eine Schwachstelle in der Authentifizierungskontrolle von PowerChute Serial Shutdown offengelegt. Die Software dient der Verwaltung unterbrechungsfreier Stromversorgungen, der Koordinierung ordnungsgemäßer Abschaltungen und der Überwachung des Energieverbrauchs auf Desktops, Servern und Workstations.

Die als CVE-2026-13348 erfasste Schwachstelle kann es einem nicht authentifizierten Angreifer ermöglichen, unter einer bestimmten Konfigurationsbedingung eine beliebige Anzahl von Anmeldeversuchen durchzuführen. Erfolgreiches Erraten des Passworts könnte unbefugten Zugriff auf ein PCSS-Benutzerkonto ermöglichen und Systemdaten offenlegen.

Schneider Electric veröffentlichte seine Sicherheitswarnung erstmals am 11. August 2026. CISA veröffentlichte die erste Weiterveröffentlichung am 17. September 2026 und wandelte dabei das CSAF-Material des Herstellers in eine ICS-Sicherheitswarnung um.

Die Schwachstelle erreicht einen CVSS-v3.1-Basiswert von 5,3 und fällt damit in den Schweregradbereich „Mittel“. Der Vektor lautet:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Es wurden weder Exploit-Aktivitäten noch kompromittierte Organisationen oder betroffene Installationen gemeldet. Die Sicherheitswarnung enthält außerdem keine Indicators of Compromise. Sie besagt nicht, dass CVE-2026-13348 in den Katalog der Known Exploited Vulnerabilities von CISA aufgenommen wurde; eine KEV-Frist zur Behebung ist ebenfalls nicht angegeben.

Wiederholte Authentifizierungsversuche werden nicht ausreichend begrenzt

CVE-2026-13348 ist als CWE-307, Improper Restriction of Excessive Authentication Attempts, eingestuft. Diese Schwachstellenklasse liegt vor, wenn eine Anwendung wiederholte Authentifizierungsversuche nicht ausreichend verlangsamt, begrenzt oder unterbindet.

In PowerChute Serial Shutdown tritt das anfällige Verhalten auf, wenn die Weiterleitungsbehandlung deaktiviert ist. Unter dieser Bedingung kann ein Angreifer eine beliebige Anzahl von Authentifizierungsversuchen senden, anstatt durch die Anmeldeschutzmechanismen der Anwendung wirksam eingeschränkt zu werden.

Der Angriff kann aus der Ferne über ein Netzwerk ausgeführt werden und weist eine geringe Komplexität auf. Es sind weder ein bestehendes Konto noch vorherige Berechtigungen oder eine Aktion eines legitimen Benutzers erforderlich. Diese Eigenschaften machen öffentlich erreichbare PCSS-Schnittstellen bei der Risikobewertung besonders relevant, auch wenn der CVSS-Gesamtwert im mittleren Bereich liegt.

Unbegrenzte Versuche legen ein Passwort nicht automatisch offen. Sie können jedoch das Erraten von Passwörtern und Angriffe mit wiederverwendeten Zugangsdaten praktikabler machen, insbesondere wenn Konten schwache, vorhersehbare oder bereits kompromittierte Zugangsdaten verwenden.

Die Sicherheitswarnung erläutert nicht, warum die Weiterleitungsbehandlung deaktiviert sein könnte, ob dieser Zustand in Produktionsumgebungen häufig vorkommt oder ob ein Angreifer ihn aus der Ferne beeinflussen kann. Auch Angaben zu Anfragemustern, Schwellenwerten für die Rate-Begrenzung, Protokollierungsverhalten oder verlässlichen Telemetriedaten, anhand derer Verteidiger einen Exploit erkennen könnten, fehlen.

Die bewerteten technischen Auswirkungen beschränken sich auf die Vertraulichkeit:

• Vertraulichkeit: Niedrig
• Integrität: Keine
• Verfügbarkeit: Keine
• Geltungsbereich: Unverändert

Schneider Electric warnt dennoch, dass ein nicht behobenes Problem die Betriebskontinuität und den Zugriff auf Systemdaten beeinträchtigen könnte. Diese weiter gefasste Warnung sollte nicht als bewertete direkte Denial-of-Service-Fähigkeit verstanden werden. Vielmehr könnte der unbefugte Zugriff auf Software zur USV- und Abschaltungsverwaltung abhängig von den Berechtigungen des Kontos und der umgebenden Infrastruktur ein Betriebsrisiko darstellen.

Versionsangaben müssen sorgfältig überprüft werden

Die Angaben zu den betroffenen Versionen enthalten eine offensichtliche Unstimmigkeit, die Administratoren anhand der installierten Version und der Sicherheitswarnung von Schneider Electric klären sollten.

In der Produktübersicht wird CVE-2026-13348 mit PowerChute Serial Shutdown Version 1.5 und früher sowie mit Version 1.6 in Verbindung gebracht. Im Abschnitt zu den betroffenen Produkten wird dagegen Version 1.5 und früher als nachweislich betroffen genannt, während Schneider Electric in den Hinweisen zur Behebung angibt, dass Version 1.6 die Korrektur enthält.

Auf Grundlage der Anweisungen zur Behebung sollten Kunden mit Version 1.5 oder einer früheren Version auf Version 1.6 aktualisieren. Organisationen, bei denen bereits Version 1.6 angegeben wird, sollten sich nicht ausschließlich auf die angezeigten Haupt- und Nebenversionen verlassen. Sie sollten bestätigen, dass es sich beim installierten Paket um den von Schneider Electric genannten korrigierten Build handelt.

Für Windows und Linux stehen separate Installationsprogramme zur Verfügung:

• Windows: https://www.se.com/ww/en/download/document/SPD-PCSS_WIN_EN/
• Linux: https://www.se.com/ww/en/download/document/SPD-PCSS_LNX_EN/

PCSS wird weltweit eingesetzt, unter anderem in kommerziellen Einrichtungen, der kritischen Fertigung, im Energiesektor und in IT-Umgebungen. Aufgrund seiner betrieblichen Rolle sollten Administratoren sowohl die Schwachstelle selbst als auch die Auswirkungen einer Aktualisierung der mit der USV-Infrastruktur verbundenen Software auf die Verfügbarkeit bewerten.

Aktualisierung auf Version 1.6 ist die wichtigste Abhilfemaßnahme

Schneider Electric empfiehlt als Korrektur PowerChute Serial Shutdown Version 1.6. Der Installationsprozess startet den PCSS-Dienst automatisch neu; in den verfügbaren Hinweisen wird kein separater Neustart des Betriebssystems als erforderlich beschrieben.

Administratoren sollten den Neustart des Dienstes dennoch einplanen. Vor der Bereitstellung sollten sie Abhängigkeiten, aktuelle Aktivitäten der USV-Verwaltung und lokale Verfahren für die Wartung betrieblicher Systeme prüfen.

Nach der Installation lässt sich die bereitgestellte Version an zwei Stellen überprüfen:

1. In der Systemsteuerung des Betriebssystems.
2. Auf der Seite About in PCSS nach der Authentifizierung.

Aufgrund der widersprüchlichen Versionsangaben sollte die Überprüfung auch bestätigen, dass das Paket vom angegebenen Download-Standort von Schneider Electric stammt. Die bloße Anzeige von „1.6“ in einem Inventardatensatz reicht möglicherweise nicht aus, wenn die Organisation nicht feststellen kann, welcher Build installiert wurde.

Die zugehörige Sicherheitswarnung des Herstellers trägt den Titel „Improper Restriction of Excessive Authentication Attempts vulnerability on PowerChute Serial Shutdown - SEVD-2026-223-01“ und ist in den Formaten CSAF und PDF verfügbar. Das Security Handbook von Schneider Electric enthält zusätzliche Anweisungen zur Installation und Härtung.

Zugriff auf PCSS während der Patch-Phase einschränken

Wenn eine sofortige Installation nicht möglich ist, können Netzwerkmaßnahmen die Möglichkeiten für das Ausprobieren von Passwörtern aus der Ferne begrenzen. PCSS-Systeme und zugehörige Steuerungsumgebungen sollten nicht direkt aus dem öffentlichen Internet erreichbar sein.

Schneider Electric und CISA empfehlen, Netzwerke für Steuerungssysteme und entfernte Geräte hinter Firewalls zu platzieren, sie von den Unternehmensnetzwerken zu trennen und jede unnötige Erreichbarkeit zu minimieren. Für die Fernverwaltung sollte ein abgesichertes Verfahren wie ein VPN verwendet werden; sowohl die VPN-Software als auch der verbindende Endpunkt müssen aktuell gehalten werden.

Diese Maßnahmen beheben CVE-2026-13348 nicht. Sie verringern jedoch die Zahl der Systeme, die die Authentifizierungsschnittstelle erreichen können.

Administratoren sollten außerdem folgende Maßnahmen erwägen:

• Den Zugriff auf PCSS auf ausdrücklich autorisierte Management-Hosts und Netzwerksegmente beschränken.
• Kontopasswörter auf Stärke, Einzigartigkeit und mögliche Wiederverwendung an anderer Stelle überprüfen.
• Authentifizierungsprotokolle auf ungewöhnlich viele fehlgeschlagene Anmeldeversuche untersuchen und dabei berücksichtigen, dass keine schwachstellenspezifischen Indicators of Compromise veröffentlicht wurden.
• Physische Zugriffskontrollen für industrielle Steuerungs- und Sicherheitssysteme anwenden.
• Steuerungen in verschlossenen Schränken aufbewahren und vermeiden, sie im Program-Modus zu belassen.
• Verhindern, dass sich Programmiersoftware mit Netzwerken verbindet, die nicht zum vorgesehenen Gerät gehören.
• USB-Laufwerke, optische Datenträger und andere mobile Datenträger prüfen, bevor sie in isolierten Netzwerken verwendet werden.
• Verhindern, dass nicht bereinigte mobile Geräte, die mit anderen Netzwerken verbunden waren, auf Sicherheits- oder Steuerungsumgebungen zugreifen.

Jede Änderung an Netzwerk- oder Zugriffskontrollen sollte durch eine Auswirkungsanalyse vorbereitet werden. Abwehrmaßnahmen, die die legitime USV-Verwaltung oder die Koordinierung von Abschaltungen unterbrechen, können eigene betriebliche Gefahren verursachen.

Für Angriffe gibt es keine veröffentlichten Erkennungsmerkmale

Schneider Electric CPCERT meldete die Schwachstelle an CISA, doch keine der beiden Organisationen hat Angriffe beschrieben, bei denen sie ausgenutzt wurde. Es gibt keine veröffentlichten Angaben zu betroffenen Organisationen, Schadadressen, Anfrage-Signaturen, Dateinamen oder anderen konkreten Indicators of Compromise, nach denen Threat Hunter suchen könnten.

Die Überwachung sollte sich daher auf das Verhalten konzentrieren: wiederholte fehlgeschlagene Authentifizierungen, Versuche aus nicht autorisierten Netzwerksegmenten, ungewöhnliche Zugriffe auf PCSS-Konten und Kontoaktivitäten, die nicht den etablierten Administrationsmustern entsprechen.

Vermutete bösartige Aktivitäten sollten im Rahmen des Incident-Response-Prozesses der Organisation behandelt werden. Relevante Erkenntnisse können außerdem an CISA gemeldet werden, damit sie mit Aktivitäten aus anderen Umgebungen abgeglichen werden können.

Bis weitere technische Erkenntnisse vorliegen, ist die wirksamste Reaktion eindeutig: den genauen PCSS-Build überprüfen, das korrigierte Paket der Version 1.6 installieren, die Netzwerkreichweite begrenzen und wiederholte fehlgeschlagene Anmeldungen genau untersuchen.