Rockwell Automation: Zwei Schwachstellen ermöglichen Rechteausweitung auf SYSTEM durch manipulierte DLLs

CISA hat am 1. September 2026 zwei schwerwiegende Schwachstellen im Rockwell Automation Redundancy Module Configuration Tool gemeldet. Die weltweit verbreitete Software kommt auch in der kritischen Fertigungsindustrie zum Einsatz.

Die als CVE-2026-9633 und CVE-2026-9634 geführten Sicherheitslücken ermöglichen es einem lokalen Benutzer mit eingeschränkten Rechten, die Ausführung von Code als Administrator/SYSTEM vorzubereiten. Für einen erfolgreichen Angriff muss jedoch anschließend ein Administrator das verwundbare Programm starten.

Es handelt sich daher nicht um Schwachstellen, die sich direkt aus der Ferne ausnutzen lassen. Zum Zeitpunkt der Veröffentlichung waren außerdem keine öffentlich bekannten Kampagnen bekannt, die gezielt auf diese Sicherheitslücken abzielten.

Welche Versionen des Tools sind verwundbar?

Beide Schwachstellen betreffen das Redundancy Module Configuration Tool von Rockwell Automation, beziehen sich jedoch auf unterschiedliche Versionsbereiche und ausführbare Dateien:

Schwachstelle	Betroffene Komponente	Verwundbare Versionen
CVE-2026-9633	RM3ConfigTool.exe	10.00.00
CVE-2026-9634	RMConfigTool.exe	Von 9.00.00 bis einschließlich 10.00.00

Rockwell Automation hat beide Probleme mit Version 10.01.00 behoben. Sie gilt damit als maßgebliches Update für alle betroffenen Installationen.

Der Status der betroffenen Produkte ist als known_affected angegeben. Unternehmen sollten die tatsächlich auf technischen Workstations installierte Version überprüfen und sich nicht ausschließlich auf zentrale Inventarsysteme verlassen, die in industriellen Umgebungen möglicherweise nicht aktuell sind.

Der Angriff nutzt beschreibbare Verzeichnisse im Systempfad

Beide Schwachstellen fallen unter CWE-276 – Incorrect Default Permissions. Das Problem entsteht durch das Zusammenspiel zu großzügiger Standardberechtigungen und der Art und Weise, wie die ausführbaren Dateien eine benötigte DLL suchen.

Beim Start suchen RM3ConfigTool.exe oder RMConfigTool.exe in den Verzeichnissen, die im Systempfad enthalten sind, nach der DLL. Eine oder mehrere dieser Speicherorte können für Standardbenutzer beschreibbar sein, obwohl sie von einem Programm verwendet werden, das mit erhöhten Rechten ausgeführt werden kann.

Ein Angreifer, der bereits Zugriff auf den Rechner hat, aber auf ein Konto mit eingeschränkten Berechtigungen beschränkt ist, kann daher eine speziell präparierte DLL in einem zugänglichen Verzeichnis ablegen. Der Code wird dabei nicht unbedingt sofort ausgeführt.

Der Angriff wird ausgelöst, wenn ein Administrator das verwundbare Tool öffnet. Führt die Bibliothekssuche zu der vom Angreifer hinterlegten Datei, wird die DLL in den Prozess mit erhöhten Rechten geladen. Ihr Code erhält dadurch Administrator-/SYSTEM-Rechte.

Es handelt sich um eine lokale Rechteausweitung durch unsicheres Laden von Bibliotheken. Dafür müssen drei Bedingungen erfüllt sein:

1. Der Angreifer muss lokal auf dem System arbeiten können.
2. Er muss in mindestens ein vom Programm durchsuchtes Verzeichnis schreiben können.
3. Ein Administrator muss das verwundbare Tool anschließend starten.

Die erforderliche Interaktion mit einem Benutzer mit höheren Rechten begrenzt zwar die Unmittelbarkeit des Angriffs, verringert jedoch nicht dessen Auswirkungen, sobald die Angriffskette erfolgreich abgeschlossen ist.

Hohe Auswirkungen auf industrielle Workstations

CISA bewertet beide Schwachstellen mit einem CVSS-v3.1-Score von 7,3 (High). Der zugehörige Vektor lautet:

CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H

Auch die Bewertung nach CVSS v4.0 liegt mit 7,0 im Bereich High:

CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Die Vektoren beschreiben einen lokalen Angriff mit geringer Komplexität, der von einem Benutzer mit eingeschränkten Rechten ausgeht und die Aktion eines Benutzers mit höheren Berechtigungen erfordert. Ein erfolgreicher Angriff kann die Vertraulichkeit, Integrität und Verfügbarkeit des betroffenen Systems vollständig beeinträchtigen.

Das konkrete Risiko hängt von der Rolle des Rechners ab. Auf einer isolierten Workstation erlangt der Angreifer vor allem die Kontrolle über das Betriebssystem. Auf einem technischen Computer, der mit Automatisierungsnetzwerken, Produktionsanlagen oder Steuerungssystemen verbunden ist, können dieselben Rechte jedoch als Ausgangspunkt für operative Manipulationen, den Diebstahl von Konfigurationen oder laterale Bewegungen dienen.

Die Schwachstelle ermöglicht für sich genommen keinen erstmaligen Systemzugriff. Sie kann jedoch eine bereits eingeschränkte Kompromittierung – etwa durch schwache Zugangsdaten, Malware oder Social-Engineering-Techniken – in die administrative Kontrolle über die Workstation umwandeln.

Keine bekannte öffentliche Ausnutzung und keine angegebene KEV-Frist

Zum Zeitpunkt der Meldung waren keine öffentlichen Exploit-Aktivitäten bekannt, die sich gezielt gegen CVE-2026-9633 oder CVE-2026-9634 richteten. Der erforderliche lokale Zugriff unterscheidet diese Schwachstellen von ICS-Sicherheitslücken, die direkt über exponierte Netzwerkdienste ausgenutzt werden können.

Es gibt keinen Hinweis darauf, dass die beiden CVEs in den Katalog Known Exploited Vulnerabilities (KEV) von CISA aufgenommen wurden. Entsprechend sind für diesen Katalog weder ein Aufnahmedatum noch eine damit verbundene Frist für die Behebung bekannt.

Dies stellt jedoch keine Sicherheitsgarantie dar. Die eingesetzte Technik eignet sich für Aktivitäten nach einem ersten Zugriff, bei denen ein Eindringling versucht, die Einschränkungen des kompromittierten Kontos zu überwinden, ohne Aufmerksamkeit zu erregen.

Es wurden keine Informationen über jüngere, für diese Meldung relevante KEV-Einträge von Rockwell Automation veröffentlicht. Die beiden Schwachstellen sollten daher anhand der tatsächlichen Verbreitung des Tools und der auf den betreffenden Rechnern verfügbaren Berechtigungen bewertet werden.

Update auf Version 10.01.00 und vorläufige Maßnahmen

Die wichtigste Maßnahme besteht darin, das Redundancy Module Configuration Tool 10.01.00 zu installieren. Vor dem Update empfiehlt CISA insbesondere in industriellen Systemen eine spezifische Analyse der Auswirkungen und Risiken für die jeweilige Betriebsumgebung.

Wenn der Patch nicht sofort eingespielt werden kann, sollten Administratoren zumindest folgende Maßnahmen umsetzen:

• alle Installationen der Versionen von 9.00.00 bis 10.00.00 ermitteln;
• den lokalen Zugriff auf Workstations mit installiertem Tool beschränken;
• prüfen, welche Verzeichnisse im Systempfad für Standardbenutzer beschreibbar sind;
• nicht erforderliche Berechtigungen nach einer Kompatibilitätsprüfung entfernen;
• das Programm bis zur Aktualisierung des Systems nicht mit Administratorkonten ausführen;
• die Security Best Practices von Rockwell Automation umsetzen.

Es wurden keine spezifischen Indicators of Compromise veröffentlicht. Sicherheitsteams können jedoch nach DLLs suchen, die von nicht administrativen Konten in den von den verwundbaren ausführbaren Dateien durchsuchten Verzeichnissen erstellt oder verändert wurden. Zusätzlich sollten sie auf ungewöhnliche Bibliotheksladungen durch RM3ConfigTool.exe und RMConfigTool.exe achten.

Diese Ereignisse sollten mit dem Start des Tools unter Verwendung administrativer Zugangsdaten und mit der anschließenden Erstellung unerwarteter Prozesse korreliert werden. Eine unbekannte DLL ist für sich genommen noch kein Beweis für einen Angriff. Ihre Herkunft, Signatur und der Pfad, aus dem sie geladen wurde, sollten jedoch überprüft werden.

Segmentierung und Defense in Depth in ICS-Umgebungen

CISA empfiehlt, Geräte und Steuerungssysteme nicht direkt aus dem Internet erreichbar zu machen, sie hinter Firewalls zu platzieren und industrielle Netzwerke von Unternehmensnetzwerken zu trennen.

Wenn ein Fernzugriff erforderlich ist, sollte er über besser geschützte Lösungen wie aktuelle VPNs erfolgen. Auch die zugelassenen Endpunkte, die eine Verbindung herstellen dürfen, müssen kontrolliert werden: Ein VPN verhindert nicht die Kompromittierung des Remote-Geräts.

Bei diesem konkreten Schwachstellenpaar verhindert die Segmentierung nicht das lokale Laden der DLL. Sie kann jedoch die Auswirkungen begrenzen, indem sie die Möglichkeit einer kompromittierten Workstation reduziert, weitere Produktionsanlagen zu erreichen.

Unternehmen sollten diese Prüfung außerdem in ihre Incident-Response-Prozesse integrieren und verdächtige Aktivitäten an CISA melden. Warnungen und Updates des Herstellers stehen auf der Seite mit den Security Advisories von Rockwell Automation zur Verfügung.