Warnung für SCADA-Systeme: Eine Schwachstelle in Schneider Electric IGSS ermöglicht Codeausführung über CGF-Dateien

Am 30. Juli 2026 veröffentlichte die CISA die Sicherheitsmeldung ICSA-26-211-04, die auf eine schwerwiegende Schwachstelle im Modul IGSS Definition (Def.exe) des SCADA-Systems IGSS von Schneider Electric hinweist. Die als CVE-2026-12927 registrierte Sicherheitslücke ist ein Out-of-Bounds-Schreibzugriff (CWE-787) mit einem CVSS-3.1-Score von 7,8. Um sie auszunutzen, muss ein Benutzer eine speziell präparierte CGF-Datei importieren. Die möglichen Auswirkungen reichen von der Ausführung beliebigen Codes bis hin zum Verlust der Kontrolle über den überwachten Industrieprozess.

Lokaler Vektor mit Benutzerinteraktion – vollständige Kompromittierung

Der Angriffsvektor ist lokal (AV:L), weist eine geringe Komplexität (AC:L) auf und erfordert keinerlei Systemprivilegien (PR:N). Entscheidend ist jedoch die erforderliche Benutzerinteraktion (UI:R): Das Opfer muss eine Datei mit der Erweiterung CGF, die die Schadnutzlast enthält, in die Anwendung laden. Ist dies geschehen, kann der Angreifer den Out-of-Bounds-Schreibzugriff auslösen und eine vollständige Kompromittierung von Vertraulichkeit, Integrität und Verfügbarkeit erreichen (C:H/I:H/A:H). Im Grunde reicht ein Doppelklick auf die falsche Datei.

Folgen der Kompromittierung von Def.exe

Sobald die Schwachstelle ausgelöst wurde, führt der Angreifer Code mit den Rechten der Anwendung IGSS Definition aus. Diese Codeausführung kann mit gängigen Techniken zur Rechteausweitung auf das darunterliegende Betriebssystem ausgedehnt werden, wodurch der Diebstahl oder die Verfälschung von Prozessdaten, die unautorisierte Änderung der Steuerungslogik und die Unterbrechung der von der SCADA-Plattform überwachten Produktionsabläufe möglich werden. In Umgebungen, in denen IGSS kritische Infrastrukturen steuert – etwa Wasserversorgung, Kraftwerke oder Fertigungslinien – können sich Kontrollverluste in physischen Schäden und Betriebsstillständen niederschlagen.

Betroffene Versionen und Sicherheitsupdate

Betroffen sind IGSS Definition Versionen bis einschließlich 18.0.0.26124 sowie die Version 18.0.0.26125. Schneider Electric hat bereits einen Patch zur Behebung bereitgestellt (Status „fixed“), der über das offizielle Support-Portal verfügbar ist: https://www.se.com/ww/en/work/support/cybersecurity/overview.jsp. Alle Systemadministratoren, die IGSS-Installationen betreuen, sollten ihre eingesetzte Version überprüfen und das Update unverzüglich einspielen.

Sofortige Gegenmaßnahmen und Verteidigungsstrategien für OT-Umgebungen

Wer das Update nicht sofort installieren kann, kann das Risiko durch einige Gegenmaßnahmen reduzieren. Die erste und wirksamste besteht darin, CGF-Dateien ausschließlich aus vertrauenswürdigen Quellen zu importieren und die Integrität des Inhalts vor der Verwendung zu prüfen. Zusätzlich sollten die Best Practices für OT-Umgebungen konsequent umgesetzt werden: Isolierung des SCADA-Netzes mittels Firewall und DMZ, Schutz von Fernzugriffen durch VPN, Überprüfung von Wechseldatenträgern, Deaktivierung des „Program“-Modus auf den Steuerungen sowie physische Zugangskontrollen zu den IGSS-Workstations. Schließlich kann die proaktive Überwachung der Protokolle des Rechners, auf dem Def.exe läuft, laufende Ausnutzungsversuche erkennen und ein Eingreifen ermöglichen, bevor der Schaden sich manifestiert.

Ursprung der Meldung und offizielle Referenzen

Die Schwachstelle wurde der CISA von Schneider Electric selbst sowie dem unabhängigen Forscher Michael Heinzl gemeldet. Die vollständige Sicherheitsmeldung ist im CSAF-Repository der CISA (Datei csaf_files/OT/white/2026/icsa-26-211-04.json) einsehbar und bezieht sich auf die Kennung CVE-2026-12927.