Mitsubishi Engineering Tools: Lokale Passwortumgehung legt Steuerungsprogramme offen

Eine schwerwiegende Authentifizierungsschwachstelle in Mitsubishi Electrics Engineering-Software GX Works3 kann es einem lokalen Angreifer ermöglichen, den Schutz durch Blockpasswörter zu umgehen und auf industrielle Steuerungsprogramme zuzugreifen.

Die als CVE-2026-15688 erfasste Schwachstelle betrifft auch Motion Control Settings, eine mit GX Works3 ausgelieferte Softwarekomponente. Ein Angreifer, der die betroffene Anwendung ausführen und ihren ausführbaren Code im Arbeitsspeicher verändern kann, kann sich mit einem ungültigen Passwort authentifizieren.

Eine erfolgreiche Ausnutzung kann die unbefugte Einsichtnahme, Änderung, Zerstörung oder Löschung von Steuerungsprogrammen ermöglichen. Die Produkte werden weltweit im Bereich Critical Manufacturing eingesetzt. Dadurch können kompromittierte Engineering-Workstations zu einem möglichen Ausgangspunkt für Betriebsunterbrechungen werden.

Die Sicherheitsempfehlung von Mitsubishi Electric wurde ursprünglich am 17. September 2026 veröffentlicht und von der CISA erneut veröffentlicht.

Jede aufgeführte Version gilt als betroffen

Die Schwachstelle betrifft zwei Produkte von Mitsubishi Electric:

• GX Works3: vers:all/*
• Motion Control Settings im Lieferumfang von GX Works3: vers:all/*

Für beide Produkte lautet der Status „known affected“. Die Daten zu den betroffenen Versionen umfassen zwar sämtliche Versionen, Mitsubishi Electric stellt jedoch konkrete aktualisierte Versionen sowie eine Sicherheitseinstellung für Projekte bereit, mit denen sich das Risiko beheben lässt.

GX Works3 ist eine Engineering-Umgebung zur Bearbeitung von Steuerungsprojekten. Motion Control Settings stellt innerhalb des GX-Works3-Softwarepakets zugehörige Konfigurationsfunktionen bereit. Die Schwachstelle betrifft die Authentifizierung zum Schutz von Blöcken innerhalb dieser Projekte, nicht etwa ein Netzwerkprotokoll, das direkt über eine Steuerung erreichbar ist.

Diese Unterscheidung prägt das Angriffsszenario. Die Schwachstelle wird nicht als aus dem Internet ausnutzbare Lücke in einem exponierten industriellen Gerät beschrieben. Der Angreifer muss zunächst lokalen Zugriff erlangen, der ausreicht, um die anfällige Software zu starten und ihr ausführbares Modul im Arbeitsspeicher zu manipulieren.

Lokal bedeutet nicht harmlos. Engineering-Workstations sind privilegierte Systeme, da sie die Logik zur Steuerung industrieller Prozesse speichern, ändern und übertragen.

Manipulation des Arbeitsspeichers umgeht die Blockpasswortprüfung

CVE-2026-15688 ist als CWE-303, Incorrect Implementation of Authentication Algorithm eingestuft. Die anfällige Software setzt die erwartete Authentifizierung per Blockpasswort nicht zuverlässig durch, wenn ein Angreifer Teile des laufenden ausführbaren Codes verändert.

Für den Angriff muss der Angreifer:

1. Lokalen Zugriff auf einen Computer erlangen, auf dem GX Works3 oder Motion Control Settings ausgeführt wird.
2. Das betroffene Produkt starten.
3. Einen Teil seines ausführbaren Moduls im Arbeitsspeicher verändern.
4. Ein ungültiges Blockpasswort eingeben.
5. Die Authentifizierung trotz der falschen Zugangsdaten erfolgreich abschließen.

Der so erlangte Zugriff kann es dem Angreifer ermöglichen, geschützte Steuerungsprogramme einzusehen oder deren Inhalte zu manipulieren. In der Sicherheitsempfehlung werden außerdem die Zerstörung und Löschung von Steuerungsprogrammen als mögliche Folgen genannt.

Diese Technik setzt mehr voraus als den Besitz einer Projektdatei. Der Angreifer benötigt Zugriff auf niedriger Ebene auf den Engineering-Computer sowie ausreichende Berechtigungen, um in einen laufenden Prozess einzugreifen. In der veröffentlichten Bewertung werden diese Voraussetzungen jedoch als vergleichsweise leicht erfüllbar eingestuft, sobald ein System kompromittiert wurde.

Während der Ausnutzung ist keine Benutzerinteraktion erforderlich. Auch die Angriffskomplexität wird als niedrig bewertet.

Die Schwachstelle erhielt einen CVSS-v3.1-Wert von 8,8, High, mit folgendem Vektor:

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Diese Bewertung weist auf ein hohes potenzielles Ausmaß für Vertraulichkeit, Integrität und Verfügbarkeit hin und berücksichtigt zugleich, dass der Angriff eine Sicherheitsbereichsgrenze überschreitet.

Nach CVSS v4.0 wird die Schwachstelle mit 9,2, Critical, bewertet:

CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:H/SA:H

Die beiden Bewertungssysteme modellieren die Folgen unterschiedlich. Beide weisen jedoch auf ein ernstes Risiko für die geschützten Engineering-Daten und die damit verbundene Betriebsumgebung hin.

Ein Update allein reicht nicht aus

Die Behebungsmaßnahmen von Mitsubishi Electric kombinieren ein Software-Upgrade mit einer Sicherheitseinstellung auf Projektebene. Administratoren sollten für das jeweils relevante Produkt beide Schritte durchführen.

Für GX Works3 sollten Kunden:

1. Version 1.096A oder höher über das Software-Download-Portal von Mitsubishi Electric installieren.
2. Die Sicherheitsversion des Projekts auf „2“ setzen.
3. Abschnitt 15.9, „Preventing Illegal Access to/Falsification of Data (Security Version),“ im GX Works3 Operating Manual befolgen.

Für Motion Control Settings sollten Kunden:

1. Version 1.070Y oder höher installieren.
2. Die Sicherheitsversion des Projekts auf „2“ setzen.
3. Abschnitt 12.5, „Preventing Illegal Access to/Falsification of Data (Security Version),“ in Motion Control Setting Function Help befolgen.

Die produktspezifischen Verfahren sind außerdem in der Sicherheitsempfehlung 2026-007 von Mitsubishi Electric dokumentiert.

Organisationen sollten sowohl eigenständige GX-Works3-Installationen als auch Systeme mit der gebündelten Motion-Control-Settings-Software inventarisieren. Wer lediglich die sichtbare GX-Works3-Version prüft, übersieht möglicherweise die zugehörige Komponente oder die Sicherheitskonfiguration des Projekts.

Änderungen sollten zunächst einer Analyse der betrieblichen Auswirkungen und Risiken unterzogen werden. In industriellen Umgebungen müssen Updates der Engineering-Software und Änderungen an Projekteinstellungen möglicherweise kontrolliert getestet werden, bevor sie auf produktiven Workstations eingesetzt werden.

Zugang zu Workstations beschränken, um den Angriffsweg zu verkürzen

Da die Ausnutzung die lokale Ausführung und eine Manipulation des Arbeitsspeichers erfordert, stellt der Zugriff auf den Engineering-Computer die wichtigste Sicherheitsgrenze dar.

Mitsubishi Electric empfiehlt, betroffene Systeme innerhalb eines LANs zu betreiben und Remote-Anmeldungen aus nicht vertrauenswürdigen Netzwerken, von nicht vertrauenswürdigen Hosts und durch nicht vertrauenswürdige Benutzer zu blockieren. Wenn eine Engineering-Workstation eine Internetverbindung oder Fernadministration benötigt, sollte der Zugriff über Firewalls, VPNs oder vergleichbare Kontrollen erfolgen und auf vertrauenswürdiges Personal beschränkt bleiben.

Der Hersteller empfiehlt außerdem:

• Den Zugriff auf Links aus nicht vertrauenswürdigen Nachrichten zu blockieren oder zu unterbinden.
• Zu verhindern, dass Benutzer nicht vertrauenswürdige E-Mail-Anhänge öffnen.
• Auf Computern mit den betroffenen Produkten Antivirensoftware zu installieren.
• Den physischen Zugriff auf Engineering-Workstations zu beschränken.
• Den Zugriff auf Netzwerkgeräte und andere Computer einzuschränken, die mit diesen Systemen kommunizieren können.

Die CISA rät Organisationen, industrielle Steuerungsgeräte nicht direkt dem Internet auszusetzen. Steuerungsnetzwerke und entfernte Geräte sollten sich hinter Firewalls befinden und von Geschäftsumgebungen getrennt bleiben.

VPNs können einen sichereren Kanal für den Fernzugriff bereitstellen, beseitigen jedoch nicht das Risiko auf den Endgeräten. Auch die VPN-Infrastruktur und jede verbundene Workstation müssen stets mit aktuellen Patches versehen und angemessen geschützt sein.

Die Netzwerksegmentierung ist in diesem Fall besonders wichtig. Ein Angreifer, der einen gewöhnlichen Unternehmensendpunkt kompromittiert, sollte dadurch nicht automatisch einen Weg zu der Workstation erhalten, mit der die Steuerungslogik bearbeitet wird.

Keine veröffentlichten Indikatoren für eine Ausnutzung

Für CVE-2026-15688 wurden keine Malware-Hashes, Prozessartefakte, Speicher-Signaturen oder anderen Indicators of Compromise veröffentlicht. Ebenso gibt es keine bekannten Informationen darüber, dass die Schwachstelle bei Angriffen ausgenutzt wurde.

Wo entsprechende Telemetriedaten verfügbar sind, sollten Verteidiger unbefugte interaktive oder Remote-Anmeldungen an Engineering-Workstations, die unerwartete Ausführung von GX-Works3-Komponenten, verdächtige Manipulationen des Prozessspeichers und nicht erklärbare Änderungen an Steuerungsprojekten untersuchen. Projektänderungen sollten mit genehmigten Engineering-Arbeiten und bekannten fehlerfreien Backups abgeglichen werden.

In der verfügbaren Sicherheitsempfehlung wird CVE-2026-15688 nicht als Eintrag im Katalog der bekannten ausgenutzten Schwachstellen der CISA geführt. Daher sind weder ein Aufnahmedatum in den KEV-Katalog noch eine Frist für die Behebung durch US-Bundesbehörden bekannt. Es wurden keine Informationen darüber veröffentlicht, dass im Zusammenhang mit diesem Vorfall kürzlich Schwachstellen von Mitsubishi Electric in den KEV-Katalog aufgenommen wurden.

Die Schwachstelle wurde Mitsubishi Electric von Mayeul Fargier, Erwan Cordier und Noé Flatreaud gemeldet. Die Veröffentlichung durch die CISA ist eine direkte erneute Veröffentlichung der CSAF-Sicherheitsempfehlung des Herstellers, um deren Bekanntheit zu erhöhen.

Für Betreiber kritischer Systeme sind die unmittelbaren Prioritäten klar: auf die angegebenen Versionen aktualisieren, die Projektsicherheit auf Version „2“ setzen, den Zugriff auf Engineering-Workstations beschränken und überprüfen, dass geschützte Steuerungsprogramme nicht unbefugt verändert wurden.