Was betroffen ist
Die US-Behörde CISA hat eine Sicherheitsmeldung veröffentlicht, die auf ein Problem im Produkt Inductive Automation Ignition hinweist. Die Vulnerabilität betrifft Versionen bis 8.1.53 (einschließlich) und wird unter der CVE-2026-77393 dokumentiert. Der Schwachstellentyp ist „Incorrect Default Permissions“. Das Produkt Ignition wird in kritischen Sektoren wie der Automatisierungstechnik, Instandhaltung und IT-Sicherheit im Produktionsumfeld eingesetzt. Die Betroffenen Sektoren sind Critical Manufacturing, Energy und Information Technology.
Welches Risiko besteht
Die mögliche Auswirkung der Vulnerabilität ist, dass ein authentifizierter Benutzer in der Lage sein könnte, Projekte zu erstellen. Dieses Risiko ist hoch, da es sich um eine Berechtigungsproblematik handelt, die potenziell zu unautorisierten Änderungen oder Manipulationen führen kann. Der CVSS-Score beträgt v3 8.8, was auf ein mittelhoch kritisches Risiko hindeutet. Ein Angreifer muss sich authentifizieren können, um das Problem auszunutzen. Im OT-Umfeld kann dies zu Störungen in der Produktionssteuerung oder -überwachung führen, insbesondere wenn Projekte kritische Prozesse steuern.
Was jetzt zu tun ist
Inductive Automation hat bestätigt, dass es sich um eine Standardwertkonfiguration (default-value configuration) und kein Fehler im Zugriffskontrollmechanismus handelt. Die Sicherheitskontrolle erzwingt genau das, was in der Einstellung „Create Project Role(s)“ angegeben ist. Da diese Einstellung bei Auslieferung leer war, wurde keine Rolle benötigt, um ein Projekt zu erstellen. Inductive Automation empfiehlt den Nutzern, auf Version 8.1.54 oder höher (oder die neueste 8.3-Version) zu aktualisieren, wo Projekt-Erstellung auf Designer-Sitzungen beschränkt ist und nicht mehr von der Einstellung abhängig ist. Für Nutzer, die auf eine frühere 8.1-Version bleiben müssen, wird empfohlen, diese Einstellung vollständig zu füllen, um das Risiko abzuschwächen.
Allgemein anerkannte Maßnahmen für OT-Umgebungen, um solche Risiken zu minimieren, sind:
- Netzsegmentierung der Steuerungssysteme (ICS/OT) von IT-Netzwerken.
- Kein direkter Internetzugang für Steuerungen und Systeme, die kritische Funktionen übernehmen.
- Fernzugriff nur über abgesicherte, verschlüsselte VPNs oder Remote-Access-Lösungen.
- Prüfung des aktuellen Patchstands aller Systeme und Geräte, insbesondere der von CISA als kritisch eingestuften.
- Aktualisierung des Inventars an Assets, um potenziell betroffene Systeme schnell identifizieren zu können.
Fazit
Die Vulnerabilität CVE-2026-77393 in Inductive Automation Ignition stellt ein Risiko für kritische Produktionsumgebungen dar, da sie potenziell zu unautorisierten Änderungen führen kann. Die Herstellerhinweise legen nahe, dass das Problem durch eine Standardwertkonfiguration verursacht wurde und nicht ein eigentlicher Fehler im Zugriffskontrollmechanismus. Für OT-Admins ist es wichtig, entweder auf die empfohlene Version zu aktualisieren oder, falls dies nicht möglich ist, die Einstellung „Create Project Role(s)“ vollständig zu füllen. Zusätzlich sollten allgemeine Sicherheitsmaßnahmen wie Netzsegmentierung und verschlüsselter Fernzugriff beachtet werden, um das Risiko weiter zu minimieren.
Auf einen Blick
- Advisory: ICSA-26-246-06
- Produkt: Inductive Automation Ignition
- CVSS: v3 8.8
- CVE: CVE-2026-77393
Quelle: ICSA-26-246-06 (CISA, englisch)