PayRange, Autorisierungslücke in der API: Fernzugriff auf Zahlungsgeräte

Am 25. August 2026 veröffentlichte die CISA ein Advisory (ICSA-26-237-04), das eine fehlende Autorisierung in der API von PayRange beschreibt. Die als CVE-2026-18965 verfolgte Schwachstelle betrifft alle Versionen des Produkts und ermöglicht einem entfernten Angreifer, auf sensible Daten zuzugreifen, Geräte willkürlich zu verändern und Dienstunterbrechungen zu verursachen.

Eine Autorisierungslücke

Die Schwachstelle ist als CWE-862, Missing Authorization, klassifiziert. Das Problem liegt in den Verwaltungs-Endpunkten der API: Sie verlangen keine ordnungsgemäße Autorisierung. Dadurch kann jeder detaillierte Informationen zu jedem Gerät im PayRange-Netzwerk abrufen – unabhängig davon, ob er über ein Konto verfügt oder nicht.

Laut Advisory ermöglicht die erfolgreiche Ausnutzung einem entfernten Angreifer – authentifiziert oder nicht authentifiziert –:

• sensible Informationen offenzulegen;
• ein Gerät willkürlich zu verändern und dadurch einen Denial-of-Service zu verursachen;
• das vom Gerät angezeigte Bild zu verändern.

Die CVSS-Werte bestätigen den Schweregrad. In Version 3.1 erhält die Schwachstelle einen Basiswert von 8,8 (HIGH) mit dem Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H. In Version 4.0 sinkt der Wert leicht auf 8,7 (HIGH) mit dem Vektor CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. In beiden Fällen ist der Angriff über das Netzwerk möglich, erfordert geringe Komplexität und keine Benutzerinteraktion. Der Vektor weist niedrige Privilegien (PR:L) aus, doch das Advisory stellt klar, dass der Zugriff auf Gerätedetails auch ohne Konto möglich ist: Der kritische Punkt ist das Fehlen von Autorisierungsprüfungen an den Verwaltungs-Endpunkten.

Produkte und Verbreitung

Der Anbieter ist PayRange mit Sitz in den USA. Das betroffene Produkt ist die PayRange API, die als für alle Versionen (vers:all/*) betroffen angegeben ist. Der Status lautet known_affected: Zum Zeitpunkt der Veröffentlichung des Advisory existieren keine gepatchten Versionen.

Die Verbreitung betrifft die USA und Kanada. Der betroffene Infrastruktursektor ist Commercial Facilities, der kommerzielle Einrichtungen und öffentliche Dienstleistungen umfasst.

Was ein Angreifer tun kann

Die potenziellen Auswirkungen betreffen Vertraulichkeit, Integrität und Verfügbarkeit. Der unbefugte Zugriff auf die Verwaltungs-Endpunkte legt sensible Details des gesamten PayRange-Gerätenetzwerks offen. Ein Angreifer kann aktive Geräte kartieren, deren Konfigurationen auslesen und anschließend direkt eingreifen.

Die willkürliche Änderung eines Geräts kann einen Denial-of-Service verursachen: Eine Zahlung schlägt fehl, ein Automat reagiert nicht mehr, ein Selbstbedienungsdienst bleibt blockiert. Die Veränderung des angezeigten Bildes öffnet auch die Tür für betrügerische Nachrichten oder unbefugte Inhalte, die auf dem Gerätebildschirm angezeigt werden – mit möglichen Folgen für die Endnutzer und den Ruf des Betreibers.

Zum Zeitpunkt der Veröffentlichung des Advisory hat die CISA keine öffentlich bekannte Ausnutzung gemeldet, die speziell auf CVE-2026-18965 abzielt. Die Schwachstelle ist nicht im KEV-Katalog (Known Exploited Vulnerabilities) der CISA aufgeführt, der aktiv ausgenutzte Schwachstellen erfasst.

Kein Patch: empfohlene Gegenmaßnahmen

Das Advisory erwähnt keine Softwarekorrektur. Nutzer der PayRange API müssen daher defensive Maßnahmen ergreifen, um das Risiko zu verringern. Die CISA empfiehlt:

• die Netzwerkexposition aller Steuerungsgeräte und -systeme zu minimieren und zu vermeiden, dass sie über das Internet erreichbar sind;
• Steuerungsnetze und entfernte Geräte hinter Firewalls zu platzieren und von den Unternehmensnetzen zu isolieren;
• wenn Fernzugriff erforderlich ist, sicherere Methoden wie VPNs zu verwenden, die auf die neueste verfügbare Version aktualisiert sind – und sich bewusst zu sein, dass eine VPN nur so sicher ist wie die Geräte, mit denen sie verbunden ist;
• vor dem Ergreifen jeglicher Gegenmaßnahmen eine Folgenabschätzung und Risikobewertung durchzuführen.

Die CISA verweist außerdem auf die auf cisa.gov/ics veröffentlichten Leitlinien für industrielle Steuerungssysteme, darunter das Dokument Improving Industrial Control Systems Cybersecurity with Defense-in-Depth Strategies und das Technical Information Paper ICS-TIP-12-146-01B zur Erkennung und Eindämmung gezielter Angriffe. Schließlich empfiehlt sie, sich vor Social-Engineering-Angriffen zu schützen, indem man keine Weblinks anklickt und keine Anhänge in unerwünschten E-Mails öffnet.

Die Meldung

Die Schwachstelle wurde der CISA von Tahi Wilton Geary gemeldet. Das Advisory wurde am 25. August 2026 in der ersten Überarbeitung veröffentlicht. Es wurden keine Angaben zu einem früheren Entdeckungsdatum oder zu einer eventuellen Koordination mit dem Anbieter für einen künftigen Patch gemacht.