Tycon TPDIN-Monitor-WEB2: Zwei Schwachstellen ermöglichen die Fernsteuerung von Relais und Konfigurationen

Die CISA hat am 3. September 2026 den Hinweis zu zwei Schwachstellen im Gerät Tycon Systems TPDIN-Monitor-WEB2 (Update A) aktualisiert. Betroffen sind alle Firmwareversionen vor Version 2.4.5.

Die schwerwiegendste Schwachstelle, CVE-2026-61884, ermöglicht die Umgehung der Webauthentifizierung und den vollständigen Zugriff auf eine Administratorsitzung. Die zweite Schwachstelle, CVE-2026-55985, macht bestimmte Systemanmeldedaten für bereits authentifizierte Benutzer lesbar.

Ein Angreifer könnte die Netzwerkkonfiguration ändern, Fernzugriffsdienste manipulieren, das Gerät neu starten und die Stromversorgungsrelais steuern. In einer industriellen Umgebung kann sich die Auswirkung auf angeschlossene Anlagen und Geräte erstrecken.

Die Aktualisierung des Advisories grenzt die betroffenen Versionen neu ab

Das Advisory wurde ursprünglich am 21. Juli 2026 veröffentlicht. Mit der Aktualisierung vom 3. September 2026 wurde der Bereich der betroffenen Versionen korrigiert und um technische Details des Herstellers ergänzt.

Der nun angegebene Geltungsbereich ist eindeutig:

Produkt	Betroffene Versionen	Fehlerbereinigte Version
Tycon Systems TPDIN-Monitor-WEB2 (Update A)	Firmware vor 2.4.5	2.4.5

Tycon Systems hat seinen Sitz in den Vereinigten Staaten, das Gerät wird jedoch weltweit vertrieben. Als betroffener Sektor wird Critical Manufacturing genannt. Die Schwachstellen wurden der CISA von Abdiwelli Guled gemeldet.

Das Problem betrifft nicht allgemein alle Tycon-Produkte derselben Familie. Insbesondere ist TPDIN-Monitor-WEB3 ein eigenständiges Gerät mit anderer Firmware und anderen Schwachstellen. Es darf nicht mit dem von diesem Advisory betroffenen WEB2 verwechselt werden.

CVE-2026-61884 ermöglicht eine Administratorsitzung ohne Anmeldung

CVE-2026-61884 ist die zentrale Schwachstelle. Sie erreicht einen CVSS-3.1-Score von 9,8 von 10 Punkten, wird als kritisch eingestuft und weist folgenden Vektor auf:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Der Vektor beschreibt einen über das Netzwerk ausführbaren Angriff mit geringer Komplexität, der keine vorherigen Berechtigungen und keine Benutzerinteraktion erfordert. Vertraulichkeit, Integrität und Verfügbarkeit können vollständig beeinträchtigt werden.

Das Gerät wird ohne vorkonfigurierte HTTP-Zugangsdaten ausgeliefert. Bei der Ersteinrichtung sollte der Installateur einen administrativen Benutzernamen und ein Passwort festlegen. In den Firmwareversionen 2.4.4 und älter kann das Webpanel jedoch ungeschützt bleiben, wenn dieser Schritt nicht vollständig durchgeführt wird.

Die technische Analyse zeigt außerdem eine unzureichende serverseitige Validierung. Ein Angreifer kann leere Werte in die für die Zugangsdaten vorgesehenen Felder übermitteln und auf verwundbaren Geräten trotzdem eine gültige Administratorsitzung erhalten.

Es handelt sich daher nicht lediglich um den Zugriff auf eine Informationsseite. Die Sitzung stellt die wichtigsten Betriebsfunktionen des Geräts bereit, darunter:

• Ein- und Ausschalten der Stromversorgungsrelais;
• Neustart des Geräts;
• Änderung der Netzwerkeinstellungen;
• Konfiguration der für den Fernzugriff verwendeten Dienste.

Die CISA klassifiziert die Schwachstelle als CWE-306, Missing Authentication for Critical Function. Die NVD verwendet dagegen CWE-288, die sich auf die Umgehung der Authentifizierung über einen alternativen Pfad bezieht. Die Klassifizierungen unterscheiden sich, der CVSS-3.1-Score und der Vektor stimmen jedoch überein.

Nach CVSS 4.0 erreicht die Schwachstelle einen Wert von 9,3 und bleibt damit kritisch.

CVE-2026-55985 zeigt lesbare Zugangsdaten im Panel an

Die zweite Schwachstelle, CVE-2026-55985, betrifft den Umgang mit sensiblen Informationen in der Weboberfläche. Eine bestimmte Konfigurationsseite gibt Systemzugangsdaten für authentifizierte Benutzer im Klartext aus.

Der CVSS-3.1-Score beträgt 4,3 und wird als mittel eingestuft. Der Vektor lautet:

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

In diesem Fall muss der Angreifer bereits über ein Konto oder eine gültige Sitzung verfügen. Die Interaktion einer weiteren Person ist nicht erforderlich. Die unmittelbare Auswirkung betrifft die Vertraulichkeit, nicht jedoch die Änderung oder Nichtverfügbarkeit der Daten.

Die Schwachstelle wird als CWE-312, Cleartext Storage of Sensitive Information klassifiziert. Der CVSS-4.0-Score liegt bei 5,3 und entspricht ebenfalls einem mittleren Schweregrad.

Zusammengenommen können die beiden Schwachstellen das Risiko verstärken. Während der Authentifizierungs-Bypass von CVE-2026-61884 die Erstellung einer Administratorsitzung ermöglicht, können über diese Sitzung die von CVE-2026-55985 offengelegten Zugangsdaten abgerufen werden. Die erlangten Informationen könnten anschließend gegen andere Systeme im lokalen Netzwerk eingesetzt werden.

Firmware 2.4.5 entfernt diese Zugangsdaten aus der von der Weboberfläche erzeugten Antwort.

Von kompromittierten Relais zu möglichen Schäden an Anlagen und Geräten

Der TPDIN-Monitor-WEB2 steuert Funktionen, die Auswirkungen auf die physische Umgebung haben können. Das Risiko beschränkt sich daher nicht auf die Kompromittierung eines Administratorkontos.

Die Manipulation der Relais kann die Stromversorgung der angeschlossenen Infrastruktur unterbrechen oder ihren normalen Betriebszyklus verändern. Auch ein unbefugter Neustart kann zu Störungen führen, insbesondere wenn das Gerät entfernte Anlagen oder unbeaufsichtigte Installationen versorgt.

Eine Änderung der Netzwerkeinstellungen kann außerdem dazu führen, dass das System für berechtigte Bediener nicht mehr erreichbar ist. Eingriffe in die Fernzugriffsdienste können zusätzliche Einstiegspunkte schaffen oder die für die Wartung verwendeten Zugangswege verändern.

Zu den möglichen Folgen zählen daher Betriebsunterbrechungen und potenzielle physische Schäden an Anlagen und Geräten. Das tatsächliche Ausmaß hängt vom Einsatz des Geräts und den gesteuerten Lasten ab.

Die Weboberfläche erhöht die Angriffsfläche, da sie ausschließlich über HTTP arbeitet. Zugangsdaten und Sitzungen sind bei der Übertragung nicht durch HTTPS geschützt. Das Panel sollte daher nicht direkt aus dem Internet erreichbar sein.

Firmware 2.4.5 und sofort umzusetzende Kontrollen

Als Korrekturmaßnahme wird die Installation von Firmware 2.4.5 empfohlen. Sie behebt beide Schwachstellen. Die neue Version verlangt die Konfiguration eines administrativen Benutzernamens und Passworts, bevor das Webpanel verfügbar wird.

Nach der Aktualisierung sollten Administratoren prüfen, ob tatsächlich die korrigierte Firmwareversion installiert ist. Für Systeme, die nicht sofort aktualisiert werden können, empfiehlt Tycon Systems folgende kompensierende Maßnahmen:

1. robuste administrative Zugangsdaten auf der Seite Network Configuration konfigurieren;
2. das Panel in einem privaten Browserfenster öffnen und prüfen, ob eine Anmeldung verlangt wird;
3. die Konfiguration und Kontrolle nach jedem Zurücksetzen auf die Werkseinstellungen wiederholen;
4. die standardmäßigen SNMP-Community-Strings ersetzen;
5. ein eventuell noch auf den werkseitigen Standardwert gesetztes Telnet-Passwort ändern;
6. Telnet deaktiviert lassen, wenn der Dienst nicht unbedingt erforderlich ist;
7. für Benachrichtigungen ein eigenes E-Mail-Konto verwenden, das nicht für sensible Aktivitäten eingesetzt wird.

Das Gerät sollte in einem privaten Netzwerk betrieben werden, das durch eine Firewall geschützt ist oder über ein aktuelles VPN erreicht wird. Steuerungsnetzwerke müssen von Unternehmensnetzwerken segmentiert werden. Verbindungen sollten auf die erforderlichen Systeme und Ports beschränkt bleiben.

Vor Änderungen an Geräten in Produktionsumgebungen sollten die Auswirkungen auf die Betriebskontinuität bewertet werden. Die Abhilfemaßnahme darf keine schwerwiegendere Unterbrechung verursachen als das Risiko, das sie reduzieren soll.

Keine öffentlich bekannte Ausnutzung und kein KEV-Status angegeben

Zum Zeitpunkt des Advisories lagen keine Hinweise auf eine gezielte öffentliche Ausnutzung von CVE-2026-61884 oder CVE-2026-55985 vor. Es wurden keine spezifischen Indicators of Compromise veröffentlicht, etwa IP-Adressen, HTTP-Anfragen oder mit Angriffen verbundene Dateien.

Außerdem wurde keine Aufnahme der beiden Schwachstellen in den Katalog der Known Exploited Vulnerabilities der CISA angegeben. Daher ist keine mit ihrer Behebung verbundene bundesweite KEV-Frist ersichtlich.

Das Fehlen einer öffentlich bekannten Ausnutzung verringert jedoch nicht die Notwendigkeit, Maßnahmen zu ergreifen. Der Bypass erfordert keine Zugangsdaten, weist eine geringe Komplexität auf und ermöglicht den Zugriff auf Funktionen, die den Betrieb unmittelbar beeinträchtigen können. Priorität haben die Aktualisierung auf Firmware 2.4.5 und die Beseitigung jeder direkten Erreichbarkeit des HTTP-Panels.