OPC UA LDS: Eine privilegierte Konsole im Installer setzt Industrieterminals einem Risiko aus

Eine Schwachstelle im Installer von OPCFoundation OPC UA LocalDiscoveryServer (LDS) kann es einem lokalen Angreifer ermöglichen, während einer Installation mit erhöhten Rechten beliebige Befehle auszuführen. Das als CVE-2026-77477 geführte Problem betrifft alle Versionen von UA-LDS-Installers vor 1.04.420.

CISA veröffentlichte die entsprechende Warnung am 3. September 2026. Potenziell betroffen sind Organisationen weltweit, darunter Unternehmen aus der Chemie-, Energie-, Lebensmittel- und Wasserwirtschaft sowie der kritischen Fertigungsindustrie.

Es handelt sich jedoch nicht um eine Schwachstelle, die sich direkt über das Netzwerk ausnutzen lässt. Der Angriff setzt lokalen Zugriff, bereits vorhandene Berechtigungen sowie die Möglichkeit voraus, während der Ausführung des Installers mit Tastatur und Bildschirm zu interagieren.

Der Installer öffnet eine Konsole im privilegierten Kontext

Die Schwachstelle befindet sich in der UA-LDS-Installers-Komponente von OPCFoundation. Während der Installation des LocalDiscoveryServer wird eine Konsole geöffnet, die erhöhte Berechtigungen erbt.

Eine am Terminal anwesende Person kann dieses Fenster nutzen, um Befehle im selben Berechtigungskontext wie die Installation auszuführen. Dadurch kann aus einem bereits vorhandenen lokalen Zugriff die Möglichkeit entstehen, mit weitergehenden Rechten in das System einzugreifen.

Die Schwachstelle ist als CWE-250, Execution with Unnecessary Privileges klassifiziert. Diese Kategorie umfasst Fälle, in denen eine Anwendung oder eine ihrer Komponenten mit mehr Rechten als tatsächlich erforderlich arbeitet und dadurch die Folgen einer unbefugten Interaktion vergrößert.

Das Szenario entspricht nicht einer Remote-Kompromittierung ohne Zugangsdaten. Um CVE-2026-77477 auszunutzen, muss der Angreifer mehrere konkrete Voraussetzungen erfüllen:

• einen Installer mit erhöhten Rechten starten können;
• lokalen Zugriff auf das Terminal haben;
• während der Installation Tastatur und Bildschirm nutzen können;
• mit der vom Prozess geöffneten Konsole interagieren können.

Diese Anforderungen schränken die Angriffsfläche deutlich ein. Das Risiko entfällt jedoch nicht in Anlagen, in denen Engineering-Workstations, Wartungsterminals oder gemeinsam genutzte Arbeitsplätze für externe Mitarbeiter, Dienstleister oder Bediener mit unterschiedlichen Rollen zugänglich sind.

Installer vor Version 1.04.420 sind verwundbar

Betroffen ist das Produkt OPCFoundation OPC UA LocalDiscoveryServer; als exponierte Komponente wird ausdrücklich UA-LDS-Installers genannt.

Die mitgeteilte Schwelle ist eindeutig: Als verwundbar gelten alle Versionen vor 1.04.420. Organisationen sollten daher sowohl die in internen Repositorys aufbewahrten Installer als auch die auf den für Konfiguration und Wartung eingesetzten Arbeitsplätzen vorhandenen Versionen überprüfen.

Das Inventar sollte sich nicht auf aktive Installationen beschränken. Ein veraltetes, verwundbares Paket kann jahrelang in einem gemeinsam genutzten Ordner, einem Wiederherstellungs-Image oder einem von einem Wartungstechniker verwendeten Softwarepaket liegen. Das Risiko entsteht, sobald dieses Paket erneut mit Administratorrechten ausgeführt wird.

Die verfügbaren Informationen nennen keine separate spezifische korrigierte Version, sondern legen lediglich die Schwelle für die betroffenen Versionen fest. Vor der Verteilung eines Updates sollte daher mit OPCFoundation geklärt werden, welches Paket verwendet werden soll. Anschließend ist es den für die industrielle Umgebung vorgesehenen regulären Test- und Freigabeverfahren zu unterziehen.

Die Schwachstelle wurde von Lukas Schumaker von Rockwell Automation entdeckt und an OPCFoundation gemeldet. Der Hersteller leitete den Fall anschließend an CISA weiter.

Mittlere Schwere, aber konkrete Folgen für das Terminal

CISA bewertet CVE-2026-77477 mit einem CVSS-3.1-Score von 4,6 und stuft die Schwachstelle damit als mittel ein:

CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nach CVSS 4.0 fällt die Bewertung mit 2,4 in die Kategorie niedrig:

CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:P/VC:L/VI:L/VA:N/SC:L/SI:L/SA:N

Beide Vektoren spiegeln die Einschränkungen des Angriffs wider: lokaler Angriffsvektor, bereits vorhandene Berechtigungen und Interaktion während des Prozesses. Die erwarteten Auswirkungen betreffen vor allem Vertraulichkeit und Integrität; eine direkte Auswirkung auf die Verfügbarkeit wird nicht angegeben.

Der Score sollte dennoch nicht isoliert betrachtet werden. Auf einem gewöhnlichen Büroarbeitsplatz können die lokalen Voraussetzungen eine Ausnutzung unpraktisch machen. Auf einem privilegierten Industrieterminal kann die Ausführung beliebiger Befehle dagegen Zugangsdaten, Konfigurationen, Administrationswerkzeuge oder andere Daten gefährden, auf die das für die LDS-Installation verwendete Konto zugreifen kann.

Die tatsächlichen Folgen hängen von der Rolle des Systems ab. Konkrete Auswirkungen auf physische Prozesse oder angeschlossene Geräte wurden nicht bekannt gegeben. Daher lassen sich der Schwachstelle keine direkten Folgen für die Produktion oder die Anlagensteuerung zuschreiben.

Keine Hinweise auf gezielte öffentliche Ausnutzung

CISA erklärt, keine Meldungen über eine gezielte öffentliche Ausnutzung der Schwachstelle erhalten zu haben. Zudem gibt es keine Anzeichen dafür, dass sie als Vektor für den Fernzugriff einzustufen ist.

Ein Eintrag von CVE-2026-77477 im Known Exploited Vulnerabilities (KEV)-Katalog von CISA ist nicht angegeben. Daher liegen weder ein Aufnahmedatum noch eine mit dem Katalog verknüpfte Frist zur Behebung vor. Auch zu möglichen jüngeren KEV-Einträgen von OPCFoundation wurden keine Informationen bereitgestellt.

Das Fehlen bekannter Ausnutzung macht verwundbare Pakete jedoch nicht sicher. In diesem Fall hängt die Abwehr vor allem von der physischen und logischen Kontrolle administrativer Tätigkeiten ab und weniger von der Filterung des Netzwerkverkehrs.

So lässt sich das Risiko bei Installation und Wartung reduzieren

Die erste Maßnahme besteht darin, die in der Organisation verfügbaren Versionen von UA-LDS-Installers zu erfassen. Jedes Paket vor 1.04.420 sollte als exponiert betrachtet und gemäß den internen Verfahren aktualisiert oder ersetzt werden.

Bis eine geeignete Version überprüft wurde, sollten interaktive Installationen mit erhöhten Rechten ausschließlich unter kontrollierten Bedingungen stattfinden. Während der Installer geöffnet ist, darf das Terminal für unbefugte Personen nicht zugänglich bleiben.

Zu den unmittelbar umsetzbaren Maßnahmen gehören:

• Administratorrechte auf die Konten und Bediener beschränken, die sie tatsächlich benötigen;
• Installations- und Wartungssitzungen überwachen;
• den unbefugten physischen Zugriff auf Tastaturen, Konsolen und Bildschirme verhindern;
• alte Installer aus gemeinsam genutzten Repositorys entfernen oder unter Quarantäne stellen;
• den Start von Prozessen und Konsolen während privilegierter Vorgänge protokollieren;
• unerwartete Befehle, die Erstellung von Konten, Konfigurationsänderungen und während der Installation gestartete Prozesse überprüfen;
• vor Eingriffen in ICS-Systeme eine Auswirkungsanalyse durchführen.

CISA empfiehlt außerdem eine Strategie der Verteidigung in der Tiefe für industrielle Umgebungen und verweist für weitere Hinweise zur Erkennung und Eindämmung auf das Dokument ICS-TIP-12-146-01B, “Targeted Cyber Intrusion Detection and Mitigation Strategies”.

Bei verdächtigen Aktivitäten sollten Organisationen ihre Verfahren zur Reaktion auf Sicherheitsvorfälle anwenden und die Ereignisse an CISA melden. Ebenfalls weiterhin relevant sind Schutzmaßnahmen gegen Phishing und Social Engineering, insbesondere wenn Installationspakete oder Wartungsanfragen über nicht angeforderte Nachrichten eintreffen.

Die lokale Kontrolle ist die eigentliche Sicherheitsgrenze

CVE-2026-77477 eröffnet nicht von selbst einen Weg vom Netzwerk in das industrielle System. Die Schwachstelle setzt vielmehr an einem kritischen Moment an: Ein Installer arbeitet mit erhöhten Rechten, während das Terminal menschlicher Interaktion ausgesetzt ist.

Für Organisationen, die OPC UA LDS einsetzen, hat die Überprüfung der Installer-Version, die Entfernung von Paketen vor 1.04.420 und der Schutz jeder Administrationssitzung Priorität. In Umgebungen mit gemeinsam genutzten Arbeitsplätzen oder an externe Dienstleister ausgelagerter Wartung verdienen diese Bedingungen besonders strenge Kontrollen.

Das Angriffsfenster ist begrenzt. Fällt es jedoch mit dem Zugriff auf ein privilegiertes Terminal zusammen, kann dies ausreichen, um es zu kompromittieren.