Die Kurzfassung
Am 12. November 2026 veröffentlichte CISA fünf Siemens-Advisories, ICSA-26-316-01 bis -05, erneut. Sie gehen auf zwei Open-Source-Bibliotheksfehler zurück. Der erste ist CVE-2026-111497, ein Out-of-Bounds-Write im Google-Brotli-Decoder, den Siemens Node2Shell nennt (CVSS v3.1 9,8). Der zweite sind zwei Use-after-Free-Fehler in PHP, CVE-2026-109618 (9,8) und CVE-2026-109619 (8,1), die Siemens PHP2Shell nennt. Alle drei ermöglichen Remote Code Execution ohne Authentifizierung, und alle drei stehen im Known-Exploited-Vulnerabilities-Katalog (KEV) der CISA.
Die beiden Bibliotheken sind in einer breiten Palette von Siemens-Produkten enthalten: die Energiemanagementsysteme Spectrum Power, die Gebäudeautomation Desigo CC, Gridscale X, Industrial Edge-Anwendungen und der RUGGEDCOM APE1808, die robuste Plattform, die eine Palo Alto Networks PAN-OS-Firewall im Werk betreibt. Für mehrere Produkte gibt es keinen Fix, und für eines ist kein Fix geplant.
Bei diesen Servern kommt es darauf an, wer sie erreichen kann. Nehmen Sie sie aus dem flachen Netz, geben Sie namentlich festgelegten Benutzern nur die Ports frei, die sie brauchen, und zeichnen Sie die Sitzungen auf, bis Siemens einen Fix liefert.
Was die Advisories besagen
Jede CISA-Advisory veröffentlicht eine Siemens-ProductCERT-Advisory (SSA) erneut, die erstmals zwischen dem 23. und 30. Oktober 2026 veröffentlicht wurde.
| Advisory | Siemens SSA | Produkte | CVE | CVSS v3.1 | Fix-Status |
|---|---|---|---|---|---|
| ICSA-26-316-01 | SSA-166980 | Spectrum Power 3, 4, 7, TG; Energy Engage; AMIS TS; blueplanet; bt-monitoring-vm | CVE-2026-109618, CVE-2026-109619 | 9,8; 8,1 | Gemischt. Kein Fix für AMIS TS, blueplanet und Spectrum Power 4. Kein Fix geplant für Energy Engage V2.0SP9 |
| ICSA-26-316-02 | SSA-045512 | Desigo CC V8 und V9, Gridscale X DSA, Gridscale X PSS®E | CVE-2026-111497 | 9,8 | Fixes verfügbar |
| ICSA-26-316-03 | SSA-443410 | Industrial Edge Management- und Device-Anwendungen | CVE-2026-111497 | 9,8 | Größtenteils behoben. Kein Fix für Common Configurator auf IEM und auf Device |
| ICSA-26-316-04 | SSA-898633 | RUGGEDCOM APE1808 mit PAN-OS | CVE-2026-111497 | 9,8 | Upgrade auf die entsprechende PAN-OS-Version |
| ICSA-26-316-05 | SSA-566512 | RUGGEDCOM APE1808 mit PAN-OS 10.2, 11.1, 11.2, 12.1, 12.2 | CVE-2026-109618, CVE-2026-109619 | 9,8; 8,1 | Upgrade auf die entsprechende PAN-OS-Version |
Siemens nennt in seinen eigenen Advisories außerdem CVSS-v4.0-Werte von 9,2 für diese CVEs.
Die PHP-Produkte in ICSA-26-316-01, Produkt für Produkt:
| Produkt | Fix-Status gemäß Advisory |
|---|---|
| AMIS TS | Kein Fix verfügbar |
| blueplanet 360 NX3 M6 WM OD IISX und IISX - S | Kein Fix verfügbar |
| Spectrum Power 4 mit Nagios oder Zabbix, Web Office Portal V3.0 bis V3.2 oder HISViews V1.0 | Kein Fix verfügbar |
| Energy Engage V2.0SP9 | Kein Fix geplant |
| Energy Engage V3.1SP1 | PHP auf V8.1.34 Release 6 aktualisieren |
| Local Monitoring bt-monitoring-vm | Update auf V20261103 oder höher |
| Spectrum Power 3, NagiosXI-Monitoring auf RHEL 7, nur CVE-2026-109619 | Red Hat PHP-Patch für RHEL 7 |
| Spectrum Power 7, NagiosXI-Monitoring | Red Hat PHP-Patch für RHEL 8 und 9 |
| Spectrum Power TG, WebConsole und WebQuery unter Windows | PHP auf V8.5.12 aktualisieren |
Die Brotli-Fixes in ICSA-26-316-02 und -03. Desigo CC V8 und V9 werden durch Installation der neuesten .NET-Sicherheitsupdates über Windows Update behoben. Gridscale X DSA wird auf V5.4 und Gridscale X PSS®E auf V36.8.0 aktualisiert. Bei Industrial Edge wird Cloud Connector Configurator auf V1.24.3, Data Flow Monitoring auf V3.0.18, Databus Configurator auf V4.0.1, DataXess Configurator auf V1.5.7, Edge OPC UA Server Configurator auf V2.3.10 und Flow Creator Configurator auf V1.15.1 aktualisiert. Siemens hat Industrial Edge Hub und Industrial Edge Management Cloud auf seiner Seite behoben, ohne dass Benutzeraktionen erforderlich sind.
Common Configurator hat keinen Fix. Für Common Configurator auf IEM empfiehlt Siemens, alle Management-Anwendungen zu deinstallieren und die IEM-Instanz mit einer Firewall oder WAF zu schützen. Für Common Configurator auf Device empfiehlt Siemens, die Anwendung zu stoppen. Wenn keine Management-Anwendungen installiert sind, ist laut Siemens keine Maßnahme erforderlich, da die Brotli-Bibliothek zwar vorhanden, aber nicht in Verwendung ist. Einen früheren, nicht verwandten IEM-Fehler haben wir im Beitrag zum Passwort-Reset in Industrial Edge Management behandelt.
Sektoren. CISA listet Energie für ICSA-26-316-01, Kritische Fertigung, Energie und Informationstechnologie für -02 sowie Kritische Fertigung für -03, -04 und -05. Alle sind weltweit im Einsatz.
Ausnutzungsstatus
Die beiden Bibliotheken wurden Ende Oktober upstream gepatcht. PHP lieferte 8.2.35, 8.3.36, 8.4.27 und 8.5.12 am 21. Oktober 2026, und CISA gab am selben Tag eine Warnung heraus, die zu sofortigem Patchen aufforderte. Laut den Advisories ist der Brotli-Fix in 1.0.10, 1.1.1 und 1.2.1 enthalten.
CISA fügte CVE-2026-109618 und CVE-2026-109619 am 26. Oktober 2026 in den KEV-Katalog auf, und CVE-2026-111497 am 27. Oktober 2026. Bei unserer Prüfung am 12. November lag der Katalog in Version 2026.11.10 vor.
Palo Alto Networks meldet aktive Ausnutzung der PHP-Fehler gegen PAN-OS-Management-Interfaces, die aus dem Internet erreichbar sind. Das Unternehmen gibt an, keine böswillige Ausnutzung des Brotli-Fehlers in seinen Produkten zu kennen. Keine der fünf Siemens-Advisories meldet eine Ausnutzung eines Siemens-Produkts.
Wie die Schwachstellen ein OT-Netzwerk erreichen
PHP2Shell ist ein Webserver-Problem. Die Fehler liegen darin, wie PHP eine Anfrage behandelt, die den Speicher erschöpft, und in einem Zustand, der von einer Anfrage zur nächsten erhalten bleibt. PHPs Advisory für CVE-2026-109618 bestätigt, dass Apache mod_php über HTTP mit Standardeinstellungen ausnutzbar ist. In Siemens-Produkten betreibt PHP die Web-Frontends: Monitoring-Konsolen auf Basis von NagiosXI oder Zabbix, das Spectrum Power 4 Web Office Portal sowie das PAN-OS-Management-Interface und die XML API. Jeder, der HTTP-Anfragen an diese Seiten senden kann, kann den Exploit versuchen.
Node2Shell ist ein Dekomprimierungsproblem. Jeder Dienst, der einen Brotli-Stream von einem nicht vertrauenswürdigen Absender dekodiert, kann mit einem manipulierten Stream angegriffen werden. Auf dem APE1808 ist die Angriffsfläche laut Palo Alto enger: Nur Firewalls, die Brotli-Traffic mit aktivierter TLS-Entschlüsselung auf der Datenebene (Dataplane) inspizieren, sind betroffen; das Management-Interface ist nicht betroffen, und PAN-OS 10.2 und 11.1 sind nicht betroffen. Brotli-Encoding ist in PAN-OS 11.2.4 und höher standardmäßig deaktiviert, sodass eine Firewall nur dann betroffen ist, wenn es jemand aktiviert hat. Die Abhilfemaßnahme besteht darin, es zu deaktivieren.
Die Tabelle ordnet die Schwachstellen MITRE ATT&CK for ICS zu. Sie beschreibt, was die Fehler ermöglichen, sowie die von Palo Alto gemeldete PAN-OS-Ausnutzung. Sie beschreibt keinen beobachteten Angriff auf ein Siemens-Produkt.
| Taktik | Technik (ID) | Anwendung hier |
|---|---|---|
| Initial Access | Internet Accessible Device (T0883) | Palo Alto meldet PHP-Ausnutzung gegen PAN-OS-Management-Interfaces, die aus dem Internet erreichbar sind |
| Initial Access | Exploit Public-Facing Application (T0819) | PHP-Web-Frontends und die PAN-OS-Web-UI, wenn sie von außerhalb des Steuerungsnetzwerks erreichbar sind |
| Initial Access, Lateral Movement | Exploitation of Remote Services (T0866) | Ein bereits im Netzwerk befindlicher Host sendet manipulierte HTTP-Anfragen oder Brotli-Streams an einen internen Server |
| Inhibit Response Function | Denial of Service (T0814) | Die Advisories nennen Denial of Service als mögliche Auswirkung des Brotli-Fehlers |
Warum das immer wieder passiert
Industriesoftware wird aus denselben Bibliotheken wie Websoftware gebaut. PHP und Brotli stecken überall im Internet. Wird in einer davon eine Lücke bekannt, ist der Fix für Webserver schnell da. Bei einem Energiemanagementsystem oder einem Gebäudeautomationsserver dauert es viel länger, weil jeder Hersteller die Bibliothek finden, neu kompilieren, testen und veröffentlichen muss. Siemens veröffentlichte seine Advisories innerhalb von zehn Tagen nach den PHP-Fixes. Drei Wochen nach diesen Fixes haben einige seiner Produkte noch keinen.
Die Firewall steht ebenfalls auf der Liste. Der RUGGEDCOM APE1808 ist dafür gedacht, eine Firewall nah an der Anlage zu betreiben. Laut Palo Alto erreichen die PHP-Fehler das PAN-OS-Management-Webinterface und die XML API, sodass der APE1808 PHP2Shell erbt. Darauf haben wir bei der FortiOS-Variante bereits im APE1808-FortiOS-Beitrag gemacht. Auch eine Security-Appliance hat eigene Advisories und sollte deshalb nicht der einzige Schutz eines Segments sein.
Das Patchen von OT-Servern braucht Zeit. Ein Spectrum-Power-Update in einer Netzleitstelle erfordert Tests und ein Wartungsfenster. Unser Beitrag zum Patch-Management in Betriebsumgebungen erläutert die Gründe. Wo es noch gar keinen Fix gibt, gibt es auch noch kein Wartungsfenster.
Was zu tun ist, egal was bei Ihnen läuft
Bibliotheken identifizieren. Listen Sie alle Siemens-Produkte aus den fünf Advisories auf, und prüfen Sie dann, welche anderen Server in Ihren Anlagen PHP ausführen oder Brotli dekodieren. CISAs PHP-Warnung fordert eine Bestandsaufnahme von PHP, das in andere Software eingebettet ist, nicht nur in Webserver.
Patchen, wo ein Fix vorhanden ist. Das betrifft Desigo CC, Gridscale X, die meisten Industrial Edge-Anwendungen, Spectrum Power 3, 7 und TG, Energy Engage V3.1SP1 und bt-monitoring-vm. Für den APE1808 listet Palo Alto die korrigierten Hotfixes je PAN-OS-Branch. Beachten Sie: 11.2.10-h16 behebt nur PHP, während 11.2.10-h17 beide Schwachstellen behebt.
Das PAN-OS-Management-Interface absichern. Palo Altos Empfehlung lautet, den Management-Zugriff auf vertrauenswürdige interne Adressen oder einen einzelnen Jump-Host zu beschränken. Prüfen Sie, ob an einem Dataplane-Interface ein Management-Profil angehängt ist, da dies die Web-UI dort ebenfalls exponiert.
Einschränken, was nicht gepatcht werden kann. Für AMIS TS, blueplanet, Spectrum Power 4 und Energy Engage V2.0SP9 beschränken Sie das Web-Frontend auf die namentlich festgelegten Bediener und Systeme, die es nutzen. Halten Sie es vom Internet und vom Unternehmensnetzwerk fern. Stoppen oder deinstallieren Sie Common Configurator, wie Siemens empfiehlt.
Wie Access Gate hilft und wo seine Grenzen liegen
Access Gate ist eine Appliance, die an jedem Standort installiert wird. Es wird neben Ihrem bestehenden Netzwerk angeschlossen. Eine Route auf dem vorhandenen Router leitet dann den Traffic zu den ausgewählten Servern durch die Appliance. Auf dem Siemens-Server wird nichts installiert. Die Installation dauert einen Tag pro Standort. Der Lollipop-Architektur-Beitrag erläutert das Design.
Eine serverspezifische Regel entscheidet, wer jedes Web-Frontend erreicht. Access Control Lists sind standardmäßig auf Deny gesetzt. Eine Regel erlaubt den Arbeitsplätzen in der Leitwarte, das Spectrum Power 4 Web Office Portal über HTTPS zu erreichen. Jeder andere Host bekommt keine Route. Damit fällt der Großteil der Absender weg, die eine PHP2Shell-Anfrage senden könnten.
Zuerst meldet sich eine namentlich bekannte Person an. Ein Access Screen verlangt eine Anmeldung über den Verzeichnisdienst, bevor eine Workstation den Server erreicht. Der Zugriff läuft nach 15 Minuten, 1 Stunde oder 8 Stunden ab.
Admin-Sitzungen sind an einen Namen gebunden. Mit Privileged Access Management öffnen sich RDP und SSH zum Server sowie HTTPS zu Admin-Webinterfaces (etwa den PAN-OS- oder IEM-Konsolen) in einer Browsersitzung, die an eine benannte Person gebunden und zeitlich begrenzt ist. RDP- und SSH-Sitzungen werden aufgezeichnet. Jede Regeländerung landet in der Enclave Change History.
Die Grenzen sind real. Access Gate patcht weder PHP noch Brotli und erkennt diese CVEs nicht. Ein erlaubter Benutzer kann weiterhin eine bösartige Anfrage an einen Server senden, den er erreichen darf. Access Gate ändert nichts daran, was die APE1808-Firewall auf ihrer eigenen Dataplane dekodiert. Dort bleibt das Deaktivieren von Brotli-Encoding oder ein Upgrade von PAN-OS die richtige Maßnahme. Die Fixes von Siemens und Palo Alto bleiben die eigentlichen Fixes. Siehe auch OT-Identität, sicherer Fernzugriff und Stromnetze.
Was diese Woche zu tun ist
- Alle Produkte aus den fünf Advisories auflisten, mit Version und der zugehörigen SSA.
- Die KEV-Einträge zu CVE-2026-109618, CVE-2026-109619 und CVE-2026-111497 prüfen und die Priorität danach setzen.
- Testen, ob ein PAN-OS-Management-Interface aus dem Internet oder dem Unternehmensnetz antwortet.
- Auf jedem APE1808 mit PAN-OS 11.2.4 oder höher
show system setting brotliausführen und Brotli-Encoding deaktivieren, solange ein Upgrade noch nicht möglich ist. - Die verfügbaren Fixes für Desigo CC, Gridscale X, Industrial Edge sowie Spectrum Power 3, 7 und TG einspielen.
- Common Configurator auf IEM und auf den Devices stoppen oder deinstallieren.
- Jeden ungepatchten PHP-Server auf namentlich festgelegte Benutzer und aufgezeichnete Admin-Sitzungen beschränken.
Wo würde ein Gate in Ihrer Anlage sitzen? Bilden Sie Ihr Netzwerk nach, in wenigen Minuten. Alle weiteren von uns behandelten Advisories finden Sie im Archiv der ICS-Sicherheitshinweise.
Quellen: CISA ICS Advisories ICSA-26-316-01, ICSA-26-316-02, ICSA-26-316-03, ICSA-26-316-04 und ICSA-26-316-05 (12. November 2026); Siemens ProductCERT SSA-166980, SSA-045512, SSA-443410, SSA-898633 und SSA-566512; Palo Alto Networks Advisories für CVE-2026-109618 und CVE-2026-111497; die PHP-Advisory GHSA-w8hw-w9fx-j79w; das Brotli v1.2.1 Release; die CISA PHP-Warnung; der CISA Known Exploited Vulnerabilities-Katalog, Version 2026.11.10, geprüft am 12. November 2026; sowie MITRE ATT&CK for ICS. Bestätigen Sie betroffene Versionen und Update-Schritte mit Siemens und Palo Alto Networks, bevor Sie ein Produktivsystem ändern.