Kritische Schwachstelle in mySCADA myPRO Manager legt privilegierte Funktionen ohne Authentifizierung offen

CISA hat zwei Schwachstellen in der Authentifizierung und Autorisierung von mySCADA Technologies’ myPRO Manager offengelegt. Darunter befindet sich eine kritische Schwachstelle, durch die Netzwerkangreifer auf privilegierte Verwaltungsfunktionen zugreifen können.

Die Schwachstellen betreffen mySCADA myPRO Manager in den Versionen 2.1 und früher. Das Produkt wird weltweit in den Bereichen Kritische Fertigung, Energie, Lebensmittel und Landwirtschaft, Transportsysteme sowie Wasser und Abwasser eingesetzt.

CISA veröffentlichte am 15. September 2026 das Advisory ICSA-26-258-03. Shirshak Secnora OÜ hatte beide Probleme an die Behörde gemeldet.

Eine behobene Version oder ein Patch des Herstellers wurde bislang nicht identifiziert. Betreiber müssen sich derzeit auf Netzwerkbeschränkungen, Segmentierung und Überwachung verlassen, um ihre Gefährdung zu verringern.

Fehler in der Command-API ermöglicht privilegierten Zugriff

Die schwerwiegendere Schwachstelle, CVE-2026-73807, ist eine fehlende Autorisierungsprüfung in der Command-API von myPRO Manager.

Ein Angreifer, der Netzwerk-Anfragen an die betroffene API senden kann, muss sich vor dem Aufruf privilegierter Funktionen nicht authentifizieren. Für die Ausnutzung ist außerdem keine Benutzerinteraktion erforderlich; die Komplexität des Angriffs gilt als gering.

Die Schwachstelle erhält einen CVSS-v3.1-Wert von 9,8 und den folgenden Vektor:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Ihr CVSS-v4.0-Wert beträgt 9,3:

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

CISA stuft die Schwachstelle als CWE-862, also „Missing Authorization“, ein. Das Problem besteht nicht darin, dass ein Angreifer einen bestimmten Anmeldemechanismus umgehen kann. Vielmehr erzwingt die Command-API die erforderliche Autorisierungsprüfung vor der Ausführung sensibler Vorgänge nicht.

Die bewerteten Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit sind allesamt hoch. Je nachdem, wie eine Organisation myPRO Manager eingesetzt hat, könnte ein unbefugter Zugriff Verwaltungsdaten offenlegen, Änderungen an Betriebs- oder Systemkonfigurationen ermöglichen und Dienste unterbrechen.

Diese Kombination ist in industriellen Umgebungen besonders kritisch. Eine Verwaltungsschnittstelle kann über mehreren Geräten oder Prozessen liegen, sodass eine Kompromittierung der Schnittstelle über den Server hinaus Auswirkungen haben kann, auf dem sie betrieben wird. Welche konkreten Befehle durch die Ausnutzung offengelegt werden und wie weit die nachgelagerte Kontrolle reicht, wurde nicht mitgeteilt.

Benachrichtigungs-Gateway erlaubt beliebige SMS-Nachrichten

Die zweite Schwachstelle, CVE-2026-82567, betrifft das Benachrichtigungs-Gateway, das mit einem angeschlossenen GSM-Modem verwendet wird.

Das Gateway stellt einen HTTP-Endpunkt bereit, der eine Empfänger-Telefonnummer und den Nachrichtentext entgegennimmt. Der Absender muss sich nicht authentifizieren, bevor diese Informationen an das Modem zur Übertragung weitergeleitet werden.

Ein Angreifer mit der erforderlichen Netzwerkposition könnte somit beliebige SMS-Nachrichten über das angeschlossene Modem der Organisation versenden. Anders als bei CVE-2026-73807 beschreibt die veröffentlichte Bewertung dies als Angriff aus einem benachbarten Netzwerk und nicht als Angriff, der über eine allgemeine Netzwerkerreichbarkeit möglich ist.

CVE-2026-82567 erhält einen CVSS-v3.1-Wert von 6,3:

CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L

Ihr CVSS-v4.0-Wert beträgt 5,3:

CVSS:4.0/AV:A/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N

Die Schwachstelle wird als CWE-306, „Missing Authentication for Critical Function“, eingestuft. Sobald der Angreifer das Gateway erreichen kann, sind weder Berechtigungen noch Benutzerinteraktion erforderlich.

Zu den unmittelbaren Auswirkungen können Telekommunikationskosten, unbefugte Kommunikation sowie die Erschöpfung oder missbräuchliche Nutzung von Benachrichtigungsressourcen gehören. Der Endpunkt könnte außerdem dazu verwendet werden, irreführende Nachrichten von einer Telefonnummer zu versenden, die Mitarbeiter als zu einem vertrauenswürdigen Betriebssystem gehörend erkennen.

Dadurch entsteht ein eigenständiges Betriebsrisiko. Auch wenn die SMS-Schwachstelle keine administrative Kontrolle über myPRO Manager ermöglicht, könnten gefälschte Warnungen das Personal verunsichern oder Arbeitsabläufe stören, die für die Benachrichtigung bei Vorfällen auf Textnachrichten angewiesen sind.

Weltweit eingesetzte Industriesysteme sind unterschiedlichen Angriffswegen ausgesetzt

Beide Schwachstellen betreffen myPRO Manager bis einschließlich Version 2.1, sollten jedoch nicht als identische Netzwerkrisiken betrachtet werden.

CVE-2026-73807 kann über ein Netzwerk aus der Ferne ausgenutzt werden, wenn der Angreifer die Command-API erreichen kann. Die kritische Einstufung spiegelt das Fehlen einer Authentifizierung, die geringe Angriffskomplexität und die potenziell weitreichenden Auswirkungen auf das betroffene System wider.

CVE-2026-82567 erfordert den CVSS-Vektoren zufolge Zugriff aus einem benachbarten Netzwerk. Dadurch wird der erwartete Angriffsweg eingeschränkt, die Schwachstelle ist jedoch keineswegs harmlos. Ein Angreifer, der einen anderen Host im betreffenden Segment kompromittiert, könnte möglicherweise aus der Umgebung heraus den SMS-Endpunkt erreichen.

Die Netzwerkarchitektur bestimmt daher maßgeblich die praktische Gefährdung. Eine aus dem Internet erreichbare Verwaltungsschnittstelle stellt ein deutlich anderes Risiko dar als eine Schnittstelle, die auf ein eigenes Steuerungssegment und eine kleine Gruppe von Administrationshosts beschränkt ist.

Der betroffene Hersteller, mySCADA Technologies, hat seinen Hauptsitz in Tschechien. Genaue Angaben zu den Einsatzahlen und zur Identität der betroffenen Kunden wurden nicht veröffentlicht.

Kein Patch und keine korrigierte Version angekündigt

Die verfügbaren Informationen zur Behebung nennen keine korrigierte Version von myPRO Manager. Organisationen, die Version 2.1 oder früher einsetzen, sollten nicht davon ausgehen, dass ein Update verfügbar ist, solange mySCADA Technologies keine gesonderten Hinweise dazu veröffentlicht.

Bis eine Fehlerbehebung bestätigt wird, sollten Betreiber jede betroffene Instanz identifizieren und dokumentieren, welche Systeme mit ihrer Command-API und ihrem Benachrichtigungs-Gateway kommunizieren können. Der öffentliche Internetzugriff sollte entfernt werden.

Firewall-Regeln und Netzwerk-Allowlists sollten beide Schnittstellen auf die unbedingt erforderliche Anzahl vertrauenswürdiger Hosts beschränken. Steuerungsnetze sollten außerdem weiterhin von Unternehmensumgebungen getrennt bleiben, um die Wege zu begrenzen, die ein Angreifer nach der Kompromittierung eines Unternehmensendpunkts nutzen könnte.

Der Fernzugriff für die Administration sollte über einen kontrollierten Zugangsmechanismus wie ein gepflegtes VPN erfolgen. Ein VPN behebt keine der beiden Schwachstellen, sondern schränkt lediglich ein, wer den anfälligen Dienst erreichen kann. Die VPN-Infrastruktur und die verbundenen Geräte müssen selbst sicher konfiguriert und aktuell gehalten werden.

Betreiber sollten die betrieblichen Auswirkungen jeder Änderung an Firewall- oder Segmentierungsregeln vor ihrer Umsetzung bewerten. Das abrupte Blockieren von Kommunikation kann in einer industriellen Umgebung legitime Verwaltungs-, Telemetrie- oder Benachrichtigungsfunktionen unterbrechen.

Wenn die GSM-Funktion nicht benötigt wird, sollten Organisationen in Betracht ziehen, den Netzwerkzugriff auf das Gateway zu unterbinden oder das Modem zu trennen, sofern dies betrieblich genehmigt ist. Falls SMS-Benachrichtigungen weiterhin erforderlich sind, sollten nur dafür bestimmte Applikationshosts Anfragen übermitteln können.

Verteidiger sollten API- und Modem-Aktivitäten überprüfen

CISA zufolge lagen zum Zeitpunkt der Veröffentlichung des Advisories keine Meldungen über eine bekannte öffentliche Ausnutzung vor, die sich gezielt gegen eine der beiden Schwachstellen richtete. Spezifische Indicators of Compromise wurden nicht veröffentlicht.

Außerdem gibt es weder einen veröffentlichten Eintrag für diese CVEs im CISA-Katalog der bekannten ausgenutzten Schwachstellen noch eine damit verbundene Frist zur Behebung auf Bundesebene. Das Fehlen gemeldeter Ausnutzung bedeutet nicht, dass exponierte Systeme nicht untersucht oder missbraucht wurden.

Verteidiger können Web-, Reverse-Proxy-, Firewall- und Anwendungs-Logs auf unerwartete Zugriffe auf Verwaltungsfunktionen von myPRO Manager prüfen. Anfragen, die nicht aus freigegebenen Administrationssystemen stammen, verdienen besondere Aufmerksamkeit, insbesondere wenn sie mit Konfigurationsänderungen oder Dienstausfällen zusammenfallen.

Bei CVE-2026-82567 sollten Betreiber die Gateway-Aktivitäten mit GSM-Modem-Datensätzen, SMS-Zustellungsprotokollen und Telekommunikationsabrechnungen abgleichen. Nachrichten an unbekannte Nummern, ungewöhnlich viele Übertragungen in kurzer Zeit oder Inhalte, die nicht den etablierten Warnvorlagen entsprechen, können auf einen Missbrauch hindeuten.

Organisationen, die verdächtige Aktivitäten feststellen, sollten ihre Verfahren zur Reaktion auf Vorfälle in industriellen Umgebungen befolgen, relevante Netzwerk- und Anwendungsdaten sichern und ihre Erkenntnisse an CISA melden. Solange kein Fix des Herstellers verfügbar ist, bleibt eine strikt kontrollierte Erreichbarkeit die wichtigste Schutzmaßnahme.