Die Kurzfassung
CISA's ICSA-26-225-06 listet zwei FortiOS-Schwachstellen, CVE-2026-23573 und CVE-2026-59839, für die Siemens RUGGEDCOM APE1808, die gehärtete Plattform, die eine Firewall innerhalb der Anlage in den Bereichen Critical Manufacturing, Energy und Transportation Systems betreibt. Die Schwachstellentypen sind Cross-Site-Scripting und Path Traversal in der FortiOS-Verwaltungsoberfläche, mit einem kombinierten CVSS v3 Base Score von 6,1. Siemens hat die Meldung aus dem eigenen Advisory SSA-127084 übernommen, da der APE1808 FortiOS hostet.
Der eigentlich bemerkenswerte Punkt ist nicht, dass dieser Score besonders hoch wäre. Das ist er nicht. Der Punkt ist, wo die Schwachstelle sitzt: im Sicherheits-Appliance selbst, dem Gerät, das viele OT-Teams als das behandeln, was alles andere schützt.
Was das Advisory besagt
Direkt aus dem Advisory:
- Produkt: Siemens RUGGEDCOM APE1808, eine gehärtete Anwendungshosting-Plattform, die FortiOS betreibt; alle aufgeführten Versionen sind betroffen.
- Die Schwachstellen: CVE-2026-23573 und CVE-2026-59839, Cross-Site-Scripting und Path Traversal in FortiOS, vom APE1808 geerbt, weil er FortiOS hostet.
- Schweregrad: CVSS v3 6,1.
- Sektoren und Verbreitung: Critical Manufacturing, Energy und Transportation Systems, weltweit im Einsatz.
- Behebung: Siemens verweist Anwender auf das Fortinet Advisory für FortiOS-Workarounds und Mitigationsmaßnahmen, empfiehlt die Kontaktaufnahme mit dem Kundendienst und den Schutz des Netzwerkzugangs zum Gerät gemäß den industriellen Sicherheitsrichtlinien.
Eine Ausnutzung in freier Wildbahn wurde nicht gemeldet. Dies ist ein Defense-in-Depth-Hinweis, kein Notfall.
Warum das immer wieder passiert
Die Firewall in einem OT-Rack ist ein Computer. Der RUGGEDCOM APE1808 ist genau dafür konzipiert: ein gehärtetes Gerät, das Sicherheitssoftware wie eine FortiGate nah an der zu schützenden Ausrüstung hostet. Das ist ein sinnvolles Design. Es bedeutet aber auch, dass das Appliance einen vollständigen Software-Stack, eine Web-Verwaltungsoberfläche und dieselben Schwachstellenklassen wie jede andere Software trägt, Cross-Site-Scripting und Path Traversal eingeschlossen.
Das Versagensmuster ist nicht die Firewall. Es ist die Behandlung der Firewall als Mauer statt als Gerät. Wenn ein einzelnes Appliance der einzige Durchsetzungspunkt für ein ganzes Segment ist, ist eine Schwachstelle in der Verwaltungsebene dieses Appliance eine Schwachstelle in der gesamten Sicherheitslage des Segments. Das Gerät, das eine Sicherheitsverletzung eindämmen sollte, wird zum einzigen Punkt, über den sich ein Angreifer ausbreiten kann.
Was tatsächlich ausgenutzt wird
Cross-Site-Scripting und Path Traversal sind Schwachstellen in der Verwaltungsebene. Sie erfordern, dass jemand oder etwas die FortiOS-Weboberfläche erreicht, und im Fall von XSS häufig, dass ein Operator dazu gebracht wird, manipulierte Inhalte zu laden. Path Traversal kann Dateien außerhalb des vorgesehenen Verzeichnisses offenlegen. Keines davon ist eine Remote-Root-Schlagzeile, weshalb die sinnvolle Frage hier eine andere ist.
Die Frage ist nicht, ob dieses eine CVSS 6,1 Ihre Woche ruinieren wird. Sie ist, wie viel von diesem einzelnen Appliance abhängt und was mit allem dahinter passiert, wenn seine Verwaltungsebene kompromittiert oder schlicht von mehr Netzwerkbereichen erreichbar ist, als sie sollte.
Die Maßnahme, die tatsächlich begrenzt
Zwei Dinge reduzieren diese Risikoklasse, und sie verstärken sich gegenseitig.
Erstens: Halten Sie die Verwaltungsebene klein und nur über einen Durchsetzungspunkt erreichbar. Die FortiOS-Verwaltungsoberfläche sollte nicht auf beliebige Hosts antworten. Das Access Gate vermittelt den Zugriff auf Verwaltungsoberflächen, sodass jede Sitzung identitätsgebunden, begrenzt und aufgezeichnet ist, was die erreichbare Angriffsfläche des Appliance selbst verkleinert.
Zweitens: Machen Sie die Firewall nicht zum einzigen Schutz zwischen einem Angreifer und den Assets. Da das Access Gate Rechenleistung auf der Leitung ist, ein agentenloser Durchsetzungspunkt vor jedem Asset, wendet es Identität und Least Privilege pro Gerät an, direkt neben der Ausrüstung. Eine Schwachstelle in einem Perimeter-Gerät gibt damit nicht das gesamte dahinterliegende Segment preis. Die Perimeter-Firewall bleibt bestehen; sie hört lediglich auf, der einzige Vertrauenspunkt zu sein. Wenn Sie eine FortiGate im Pfad betreiben, zeigt der FortiGate-Integrationsleitfaden, wie das Access Gate daneben sitzt; die Begründung findet sich unter OT network security.
Wo Sie diese Woche anfangen
- Inventarisieren Sie jeden RUGGEDCOM APE1808 und notieren Sie die jeweils laufende FortiOS-Version.
- Folgen Sie dem Fortinet Advisory für Workarounds und Updates im Rahmen Ihres normalen Change-Prozesses.
- Bestätigen Sie, dass die FortiOS-Verwaltungsoberfläche nicht breit erreichbar ist, und beschränken Sie sie auf einen identitätsgebundenen, aufgezeichneten Pfad.
- Prüfen Sie, für welche Bereiche jedes Appliance der einzige Durchsetzungspunkt ist, und fügen Sie für die wichtigsten Assets eine gerätespezifische Durchsetzung hinzu, damit kein einzelnes Gerät den gesamten Perimeter darstellt.
- Wenden Sie dieselbe Überlegung auf jedes Sicherheits-Appliance im Bestand an. Eine Firewall ist ebenfalls Software, und Software hat Advisories.
ICSA-26-225-06 ist ein stilles Advisory mit einer lauten Botschaft. Das Gerät, dem Sie den Schutz des Segments anvertrauen, ist selbst ein Gerät, schützen Sie also den Zugang dazu und stellen Sie sicher, dass es nicht das Einzige ist, das irgendetwas schützt.