Siemens Desigo: Manipulierte BACnet-Pakete können DoS auf Controllern auslösen

Die Schwachstelle betrifft sechs Controller-Familien

Siemens meldete am 13. August 2026 die Schwachstelle CVE-2026-59693, die als CWE-754 für die unsachgemäße Behandlung anomaler oder außergewöhnlicher Bedingungen klassifiziert ist.

Betroffen sind folgende Produkte:

• Desigo DXR2: Versionen vor V01.21.233.16-7862
• Desigo PXC3: Versionen vor V01.21.233.16-7862
• Desigo PXC4: Versionen vor V02.21.194.36-2715
• Desigo PXC5.E003: Versionen vor V02.21.194.36-2715
• Desigo PXC5.E24: Versionen vor V02.21.194.36-2715
• Desigo PXC7: Versionen vor V02.21.194.36-2715

Gemeldet wurde die Schwachstelle von Thomas EBI von Sauter an Siemens.

So funktioniert der Angriff

Ein Angreifer kann manipulierte BACnet-Pakete an den Controller senden. Die Verarbeitung der fehlerhaften Eingaben kann dazu führen, dass das Gerät nicht mehr auf BACnet-Abfragen reagiert.

Die Folge ist ein Denial-of-Service-Zustand. Um den Betrieb wiederherzustellen, ist ein Reset oder Neustart des Geräts erforderlich.

Der Angriff erfordert Zugriff auf das benachbarte Netzwerk, jedoch weder Berechtigungen noch eine Benutzerinteraktion. Die Angriffskomplexität ist niedrig. Der CVSS-3.1-Vektor lautet:

CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L

Der Score beträgt 4,3 bei einem Schweregrad von Mittel. Die Auswirkungen betreffen ausschließlich die Verfügbarkeit; Auswirkungen auf Vertraulichkeit oder Integrität der Daten wurden nicht angegeben.

Mögliche Auswirkungen

Desigo-Controller kommen in Gewerbeimmobilien, kritischen Produktionsanlagen, Energieanlagen, Einrichtungen des Gesundheitswesens und der öffentlichen Gesundheit sowie in Verkehrssystemen zum Einsatz.

Ein Ausfall der BACnet-Abfragen kann daher die Überwachung oder Steuerung angeschlossener Anlagen bis zur manuellen Wiederherstellung beeinträchtigen. Die Geräte sind weltweit im Einsatz.

Updates und Maßnahmen zur Risikominderung

Siemens empfiehlt, die Controller auf die neuesten Versionen zu aktualisieren, mindestens jedoch auf die für die jeweilige Produktfamilie genannten Versionen. Vor der Durchführung sollten Betreiber die Auswirkungen des Neustarts und die damit verbundenen betrieblichen Risiken bewerten.

Darüber hinaus sollten sie:

• den direkten Zugriff der Geräte aus dem Internet verhindern;
• OT-Netzwerke und entfernte Systeme mithilfe von Firewalls von Unternehmensnetzwerken isolieren;
• für den Fernzugriff VPNs verwenden;
• Controller, verbundene Geräte und VPNs stets aktuell halten;
• die Siemens-Richtlinien zur industriellen Sicherheit sowie die Empfehlungen in den Produkthandbüchern befolgen;
• die Protokolle auf anomale BACnet-Pakete oder unerwartete Unterbrechungen der BACnet-Antworten prüfen.

Bei Fragen zu Schwachstellen in Siemens-Produkten kann Siemens ProductCERT kontaktiert werden.