Xiiaozet LK100W: drei Schwachstellen, zwei kritische, die vollständige Kontrolle über das Gerät ist gefährdet

Am 27. August 2026 veröffentlichte CISA eine Warnung zu drei Schwachstellen im Gerät Xiiaozet LK100W, das vom chinesischen Unternehmen Xiiaozet hergestellt wird. Die mit drei CVE-Nummern gekennzeichneten Sicherheitslücken ermöglichen einem Angreifer die vollständige Kontrolle über das Gerät. Zwei davon werden als kritisch eingestuft und sind aus der Ferne ohne jegliche Authentifizierung ausnutzbar.

Die CISA-Warnung vom 27. August und die drei Schwachstellen

Das Bulletin mit der Kennung ICSA-26-239-01 wurde am 27. August 2026 veröffentlicht. Es weist darauf hin, dass alle Firmware-Versionen des LK100W vor 2.1.240 betroffen sind. Die drei Schwachstellen sind:

• CVE-2026-78037 – OS Command Injection (CWE-78), Schweregrad hoch. CVSS-3.1-Vektor: AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H.
• CVE-2026-78239 – Fehlende Authentifizierung für kritische Funktion (CWE-306), Schweregrad kritisch. CVSS-3.1-Vektor: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.
• CVE-2026-76943 – Authentifizierungsumgehung über alternativen Pfad oder Kanal (CWE-288), Schweregrad kritisch. CVSS-3.1-Vektor: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.

Im Einzelnen ermöglicht CVE-2026-78037 einem authentifizierten Angreifer, über die Verwaltungs-Weboberfläche Systembefehle einzuschleusen und beliebigen Code mit erhöhten Rechten auszuführen. CVE-2026-78239 legt eine kritische Verwaltungsfunktion ohne Authentifizierungsanforderung offen, sodass ein entfernter Angreifer reservierte administrative Dienste aktivieren kann. CVE-2026-76943 umgeht die Authentifizierungskontrollen über einen alternativen Kanal und ermöglicht unbefugte Befehlsausführung.

Wie ein Angreifer sie ausnutzen kann: technische Details und Bewertungen

Die drei Schwachstellen betreffen unterschiedliche Komponenten des Geräts, führen aber zum gleichen Ergebnis: vollständige Kompromittierung.

CVE-2026-78037 ist eine klassische OS-Command-Injection. Der Angreifer muss authentifiziert sein, kann aber nach dem Eindringen beliebige Befehle mit erhöhten Rechten ausführen. Diese Art von Schwachstelle tritt auf, wenn die Webanwendung ungeprüfte Eingaben an eine System-Shell weitergibt. Die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit sind hoch.

Die beiden anderen Schwachstellen beseitigen die Authentifizierungsbarriere. CVE-2026-78239 erlaubt den Aufruf einer kritischen Funktion ohne Zugangsdaten: Ein entfernter Angreifer kann administrative Dienste aktivieren und sich so unbefugten Zugriff verschaffen. CVE-2026-76943 wirkt über einen alternativen Pfad oder Kanal, um die vorgesehenen Kontrollen zu umgehen. Beide haben einen CVSS-3.1-Wert von 9,8 und einen CVSS-4.0-Wert von 9,3 – die höchste Schweregradstufe.

Auffällig ist eine kleine Ungereimtheit beim Produktnamen: Die Beschreibung von CVE-2026-76943 nennt „Xiiaozet LK100Wt“, während die offiziellen Metadaten „LK100W“ angeben. Höchstwahrscheinlich handelt es sich um einen Tippfehler.

Versionen, Produkte und Verbreitung: Wer handeln muss

Betroffen sind alle Firmware-Versionen des LK100W vor 2.1.240. Hersteller ist Xiiaozet mit Sitz in China. Der von CISA angegebene Branchensektor ist Informationstechnologie. Die Verbreitung ist weltweit.

Es ist unklar, wie viele Geräte exponiert sind. Da es sich jedoch um ein Netzwerkprodukt für IT-Infrastrukturen handelt, betrifft das Risiko Organisationen, die es als Verwaltungs- oder Steuergerät einsetzen. Die Warnung enthält keine Angaben zur installierten Basis.

Zum Zeitpunkt der Veröffentlichung hat CISA keinen spezifischen Patch genannt. Die Warnung enthält keine Korrekturanweisungen des Herstellers. Dies bringt die Anwender in eine schwierige Lage: Sie müssen allgemeine Gegenmaßnahmen ergreifen, bis ein Firmware-Update verfügbar ist.

Gegenmaßnahmen: So schützen Sie sich ohne Patch

CISA empfiehlt, die Netzwerkexposition dieser Geräte so gering wie möglich zu halten. Insbesondere:

• Direkten Zugriff aus dem Internet vermeiden.
• Geräte hinter Firewalls platzieren und von Unternehmensnetzen isolieren.
• Falls Fernzugriff erforderlich ist, ausschließlich aktuelle VPNs verwenden.
• Vor der Anwendung von Schutzmaßnahmen eine Folgenabschätzung und Risikobewertung durchführen.

Die Behörde schlägt außerdem vor, die Sicherheitspraktiken für Steuerungssysteme auf cisa.gov/ics sowie das Dokument „Improving Industrial Control Systems Cybersecurity with Defense-in-Depth Strategies“ zu konsultieren. Für die Erkennung und Eindämmung gezielter Angriffe wird das technische Dokument ICS-TIP-12-146-01B zitiert.

Zum Zeitpunkt der Veröffentlichung liegen keine Berichte über eine öffentliche Ausnutzung speziell dieser Schwachstellen vor. Die Kombination aus zwei kritischen Lücken ohne Authentifizierung und einer dritten mit hoher Auswirkung macht das Gerät jedoch zu einem attraktiven Ziel. Administratoren sollten Protokolle auf verdächtige Aktivitäten überwachen und Auffälligkeiten an CISA melden.

Meldung und Ausnutzungsstatus: keine bekannten Angriffe, aber wachsam bleiben

Die Schwachstellen wurden CISA von Byron Guernsey von Okachobi, LLC gemeldet. Der Forscher identifizierte die drei Lücken und informierte die Behörde, die daraufhin die Warnung herausgab.

Zum 27. August 2026 hat CISA keine Berichte über aktive Ausnutzung erhalten. Die Aufnahme in den KEV-Katalog (Known Exploited Vulnerabilities) wird in der Warnung nicht erwähnt. Das bedeutet, dass derzeit keine Hinweise auf laufende Angriffe vorliegen. Die Geschichte der Cybersicherheit lehrt jedoch, dass kritische Schwachstellen ohne Patch nach ihrer Veröffentlichung schnell ausgenutzt werden können.

Anwender des Xiiaozet LK100W sollten sich auf ein Firmware-Update vorbereiten, sobald es verfügbar ist. Bis dahin bleiben Netzwerkisolation und Segmentierung die wirksamsten Schutzmaßnahmen. Die CISA-Empfehlung zum Social Engineering – keine Links oder Anhänge in unaufgeforderten E-Mails zu öffnen – gilt auch in diesem Zusammenhang, da der Erstzugriff über Phishing erfolgen könnte.

Zusammenfassend: drei Schwachstellen, zwei kritische, eine hohe. Die vollständige Kontrolle über das Gerät ist für einen Angreifer in Reichweite. Das Gebot der Stunde lautet: isolieren, überwachen und so bald wie möglich aktualisieren.