Schwachstelle im Schutz von SCADAPack-Zugangsdaten legt RTU-Authentifizierungsdaten offen

Schneider Electric hat eine Schwachstelle beim Schutz von Zugangsdaten offengelegt, die mehrere SCADAPack-Familien von Remote Terminal Units (RTUs) betrifft, die weltweit in der Energieversorgung und in kritischen Fertigungsumgebungen eingesetzt werden.

Die als CVE-2026-81861 geführte Schwachstelle betrifft die ältere Funktion Secure Lock. Authentifizierungsdaten können offengelegt werden, wodurch sich Unbefugte möglicherweise Zugriff auf RTU-Funktionen oder -Konfigurationen verschaffen können.

Schneider Electric veröffentlichte am 8. September 2026 eine erste Sicherheitsmeldung. CISA veröffentlichte die Meldung am 15. September 2026 erneut und nannte den Sicherheitsforscher Abhinav Agarwal als Urheber des Berichts.

Die Schwachstelle weist einen CVSS-v3.1-Basiswert von 6,5 auf und liegt damit im mittleren Schweregradbereich. Es wurden keine aktiven Ausnutzungen gemeldet. Außerdem ist die Schwachstelle nicht als Eintrag im Katalog der bekannten ausgenutzten Schwachstellen von CISA aufgeführt.

Alle aufgeführten SCADAPack-Versionen gelten als betroffen

Die CISA-Sicherheitsmeldung zu industriellen Steuerungssystemen stuft sieben Produktfamilien von Schneider Electric als known_affected ein:

• SCADAPack 47x — vers:all/*
• SCADAPack 47xi — vers:all/*
• SCADAPack 47xd — vers:all/*
• SCADAPack 470R — vers:all/*
• SCADAPack 57x — vers:all/*
• SCADAPack 3xx — vers:all/*
• SCADAPack 32 — vers:all/*

Die Kennzeichnung vers:all/* bedeutet, dass die Meldung die Betroffenheit nicht auf bestimmte Firmware- oder Softwareversionen beschränkt. Betreiber sollten daher alle Versionen der genannten Produktfamilien als potenziell verwundbar behandeln, sofern Schneider Electric keine genaueren Angaben macht.

Die Zusammenfassung der Sicherheitsmeldung konzentriert sich auf die Produktlinien 47x, 47xi, 47xd, 470R und 57x als SCADAPack-x70-RTUs. In der detaillierten Tabelle der betroffenen Produkte werden jedoch auch SCADAPack 3xx und SCADAPack 32 genannt. Diese zusätzlichen Produktfamilien dürfen bei der Bestandsaufnahme und Risikobewertung nicht ausgelassen werden.

SCADAPack-RTUs stellen die Kommunikation für die Fernüberwachung und -steuerung bereit. Ihr Einsatz in kritischen Fertigungs- und Energieumgebungen macht eine präzise Bestandsaufnahme besonders wichtig, auch wenn sich die dokumentierte Auswirkung der Schwachstelle auf die Vertraulichkeit beschränkt.

Secure Lock schützt Zugangsdaten nicht ausreichend

CVE-2026-81861 ist als CWE-522, also als unzureichend geschützte Zugangsdaten, klassifiziert. Die Schwachstelle befindet sich in Secure Lock, einer älteren Zugriffskontrollfunktion, die aus Kompatibilitätsgründen mit älteren Systemen beibehalten wurde.

Eine erfolgreiche Ausnutzung kann Authentifizierungsdaten offenlegen und unbefugten Zugriff auf RTU-Funktionen ermöglichen. CISA beschreibt das daraus entstehende Risiko konkreter als unbefugten Zugriff auf die RTU-Konfiguration über Secure Lock.

Der veröffentlichte CVSS-Vektor lautet:

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N

Der Vektor beschreibt eine über ein Netzwerk erreichbare Schwachstelle mit geringer Angriffskomplexität, für deren Ausnutzung keine bestehenden Berechtigungen erforderlich sind. Eine Ausnutzung setzt jedoch eine Benutzerinteraktion voraus. Welche Handlung ein Benutzer dafür ausführen müsste, erläutert die Meldung nicht.

Die Vertraulichkeit ist als stark beeinträchtigt bewertet. Im Gegensatz dazu weist die Bewertung keine direkten Auswirkungen auf Integrität oder Verfügbarkeit aus und deutet nicht darauf hin, dass die Ausnutzung eine Sicherheitsautoritätsgrenze überschreitet.

Diese Unterscheidung ist für die Analyse des Betriebsrisikos relevant. Die veröffentlichte Bewertung beschreibt weder eine Änderung von Prozesswerten durch Angreifer noch eine Störung des RTU-Betriebs oder einen Ausfall der Dienste allein infolge dieser Schwachstelle. Sie weist jedoch auf die mögliche Offenlegung von Authentifizierungsmaterial und den Zugriff auf sensible Konfigurationsinformationen hin.

Diese Zugangsdaten könnten über den unmittelbaren Verlust der Vertraulichkeit hinaus sicherheitsrelevant sein. Die Meldung dokumentiert jedoch keine weiteren Angriffsschritte. Unternehmen sollten daher weder davon ausgehen, dass eine weitergehende Kompromittierung unvermeidlich ist, noch dass offengelegte Authentifizierungsdaten harmlos sind.

Kein Patch und keine fehlerbereinigte Version angekündigt

Die Meldung nennt weder einen Sicherheitspatch noch eine korrigierte Firmwareversion oder eine nicht betroffene Version. Stattdessen empfiehlt Schneider Electric, Secure Lock überall dort nicht mehr zu verwenden, wo es die betrieblichen und kompatibilitätsbezogenen Anforderungen zulassen.

Für SCADAPack-47x-Geräte ist Role-Based Access Control der bevorzugte Mechanismus. Secure Lock sollte nur aktiviert bleiben, wenn Abhängigkeiten zu älteren Systemen seinen Einsatz erforderlich machen.

Betreiber sollten RBAC gemäß der Produktdokumentation aktivieren und konfigurieren, insbesondere anhand der Abschnitte zu den Sicherheitsempfehlungen für Administratoren und zu rollenbasierten Zugriffskontrollen. Schneider Electric verweist außerdem auf den SCADAPack Cybersecurity Guide mit Empfehlungen zur Härtung der Geräte und zur Absicherung der Kommunikation.

Die relevante Dokumentation ist über das Dokumentationsportal für RemoteConnect und SCADAPack x70 Utilities von Schneider Electric verfügbar. Kunden, die produktspezifische Unterstützung benötigen, können sich an einen lokalen Ansprechpartner von Schneider Electric oder an das Industrial Cybersecurity Services-Team des Unternehmens wenden.

Da keine fehlerbereinigte Version angegeben ist, besteht die praktische Reaktion in einer konfigurationsbasierten Abhilfe in Verbindung mit einer geringeren Netzwerkaussetzung. Betreiber sollten jedes Gerät dokumentieren, auf dem Secure Lock noch verwendet wird, und prüfen, ob sich die jeweilige Abhängigkeit von diesem älteren Mechanismus beseitigen lässt.

Segmentierung und die RTU-Firewall können die Aussetzung verringern

Schneider Electric empfiehlt, vertrauenswürdige und nicht vertrauenswürdige Netzwerke zu trennen und den Datenverkehr zwischen ihnen streng zu kontrollieren. Außerdem sollte der RTU Firewall Service aktiviert werden, um unbefugten Zugriff auf Gerätedienste zu blockieren und die erreichbare Angriffsfläche zu verkleinern.

Steuerungs- und Sicherheitsnetzwerke sollten von Unternehmenssystemen isoliert bleiben. RTUs und andere Steuerungsgeräte sollten nicht direkt aus dem Internet erreichbar sein. Der ein- und ausgehende Datenverkehr sollte auf die erforderlichen Hosts, Protokolle und Dienste beschränkt werden.

Wenn ein Fernzugriff betrieblich erforderlich ist, sollten Unternehmen abgesicherte Verbindungen wie VPNs verwenden. Die VPN-Software muss aktuell gehalten werden. Ein VPN allein macht den verbundenen Endpunkt jedoch nicht vertrauenswürdig. Geräte, die über eine Fernzugriffsinfrastruktur in die Steuerungsumgebung gelangen, müssen einer eigenen Sicherheitsbewertung unterzogen werden.

Auch der physische Schutz bleibt relevant. Steuerungen sollten in verschlossenen Schaltschränken untergebracht werden. Außerdem sollten Betreiber vermeiden, sie im Program-Modus zu belassen. Engineering- oder Programmierarbeitsplätze sollten nur mit Netzwerken verbunden werden, in denen sich die von ihnen zu verwaltenden Geräte befinden.

Wechselmedien sollten gescannt werden, bevor sie isolierte Netzwerke oder angeschlossene Terminals erreichen. Mobile Geräte, die mit einem anderen Netzwerk verbunden waren, sollten anschließend nicht ohne geeignete Bereinigung in eine Sicherheits- oder Steuerungsumgebung gelangen.

Jede neue Firewall-Regel, Zugriffskontrollrichtlinie oder Isolationsmaßnahme sollte vor ihrer Einführung einer Auswirkungsanalyse unterzogen werden. Unzureichend getestete Schutzmaßnahmen können notwendige industrielle Kommunikationsverbindungen unterbrechen, selbst wenn das zugrunde liegende Sicherheitsziel sinnvoll ist.

Keine Ausnutzung gemeldet und kein Eintrag in KEV

Es gibt keine gemeldeten Hinweise darauf, dass CVE-2026-81861 aktiv im Feld ausgenutzt wird. In der verfügbaren Meldung ist die Schwachstelle außerdem nicht als Bestandteil des Katalogs der bekannten ausgenutzten Schwachstellen von CISA aufgeführt. Eine KEV-Frist für die Behebung wurde daher nicht festgelegt.

Die Sicherheitsmeldung dokumentiert somit eine offenliegende Schwachstelle, nicht jedoch eine bestätigte aktive Ausnutzungskampagne. Der über das Netzwerk erreichbare Angriffsweg, die fehlende Notwendigkeit bestehender Berechtigungen und die mögliche Offenlegung von Authentifizierungsdaten rechtfertigen dennoch eine zeitnahe Prüfung.

Betreiber sollten auf unerwartete Zugriffe auf RTU-Konfigurationsschnittstellen, nicht erklärte Authentifizierungsaktivitäten, unbefugte Änderungen an Zugriffskontrolleinstellungen und Verbindungen von Systemen achten, die SCADAPack-Geräte normalerweise nicht verwalten. Spezifische Indicators of Compromise für diese Schwachstelle wurden nicht veröffentlicht.

Unternehmen, die verdächtige Aktivitäten feststellen, sollten relevante Netzwerk-, Authentifizierungs- und Geräteverwaltungsprotokolle sichern. Anschließend sollten sie ihre internen Verfahren zur Reaktion auf Sicherheitsvorfälle befolgen und relevante Erkenntnisse an CISA melden, damit diese abgeglichen und nachverfolgt werden können.

Die unmittelbare Priorität ist klar: Jede betroffene SCADAPack-Einheit identifizieren, feststellen, wo Secure Lock noch verwendet wird, nach Möglichkeit auf RBAC umsteigen und den Zugriff auf Geräte beschränken, bei denen sich der ältere Mechanismus noch nicht ablösen lässt.