Was betroffen ist
Die US-Behörde CISA hat eine Sicherheitsmeldung veröffentlicht, die auf eine Schwachstelle im IXON VPN Client hinweist. Die betroffene Software ist ein VPN-Client, der in Produktionsumfeldern eingesetzt wird, um Remote-Zugriff auf Steuerungssysteme zu ermöglichen. Die Schwachstelle (CVE-2026-75925) betrifft Versionen des IXON VPN Clients, die älter als 1.4.7 sind. Die Schwachstellentypen werden als „Improper Neutralization of CRLF Sequences (‚CRLF Injection‘)“ klassifiziert. Die betroffenen Sektoren umfassen Commercial Facilities, Critical Manufacturing, Energy, Information Technology und Water and Wastewater.
Welches Risiko besteht
Die Schwachstelle ermöglicht es einem Angreifer, über eine CRLF-Injection-Attacke Remote Code Execution (RCE) auf dem Computer durchzuführen, auf dem der IXON VPN Client installiert ist. Die Ausführung erfolgt mit erhöhten Privilegien, was bedeutet, dass der Angreifer potenziell über die Rechte des Systems verfügen kann. Die Ausnutzung der Schwachstelle erfordert den Netzwerkzugang zum Zielgerät, da die Ausführung über eine Verbindung mit dem VPN-Client stattfindet. Die kritische Bedeutung dieser Schwachstelle im OT-Umfeld liegt darin, dass sie potenziell zu einer vollständigen Kontrolle des zugriffsbereiteten Geräts führen kann, was zu schwerwiegenden Produktionsunterbrechungen oder Schäden führen könnte.
Was jetzt zu tun ist
Der Hersteller IXON empfiehlt dringend, den VPN Client auf Version 1.4.7 oder höher zu aktualisieren. Ab dem 5. August 2026 wird der IXON Cloud-Portal auch den Zugriff von Clients unter Version 1.4.7 blockieren, was die Ausnutzung der Schwachstelle erschwert. Der Hersteller weist darauf hin, dass die privilegierten Prozesse und der injizierte Listener erst beim Verbindungsaufbau aktiviert werden, sodass unpatchte Installationen den kompletten Exploit-Chain nicht abschließen können. Für Geräte, auf denen der VPN Client nicht mehr benötigt wird, empfiehlt sich die Deinstallation.
Im OT-Umfeld sind weitere Schutzmaßnahmen erforderlich, um die Auswirkungen der Schwachstelle zu minimieren. Dazu gehören:
- Die Segmentierung des Netzwerks, um den Zugriff auf kritische Systeme einzuschränken.
- Der Verzicht auf direkten Internetzugang für Steuerungssysteme und die Nutzung von abgesicherten VPNs zur Fernwartung.
- Die Überprüfung des Patchstands aller Geräte im Inventar, insbesondere solcher, die den IXON VPN Client verwenden.
- Die Pflege eines vollständigen Assets Inventars, um potenziell betroffene Systeme schnell identifizieren zu können.
Fazit
Die Schwachstelle im IXON VPN Client stellt ein erhebliches Risiko für industrielle Steuerungssysteme dar, da sie Remote Code Execution ermöglicht. Die dringende Aktualisierung auf die empfohlene Version ist unverzichtbar. Zusätzliche Netzwerkschutzmaßnahmen und eine gründliche Inventarisierung der Assets sind notwendig, um die kritische Infrastruktur im OT-Umfeld zu schützen.
Auf einen Blick
- Advisory: ICSA-26-246-02
- Produkt: IXON VPN Client
- CVSS: v3 9.6
- CVE: CVE-2026-75925
Quelle: ICSA-26-246-02 (CISA, englisch)