Schneider Electric schließt kritische Sicherheitslücke in EcoStruxure Process Expert (CVE-2026-23080)

Schneider Electric behebt kritische Sicherheitslücke in EcoStruxure Process Expert

Schneider Electric hat Sicherheitsupdates veröffentlicht, um eine kritische Schwachstelle (CVE-2026-23080) in den Produkten EcoStruxure Process Expert und EcoStruxure Process für die AVEVA System Platform zu schließen. Die von der Cybersecurity and Infrastructure Security Agency (CISA) bekanntgegebene Lücke könnte Angreifern die Remote-Ausführung von beliebigem Code ermöglichen, falls sie ausgenutzt wird.

Technische Details

Die Schwachstelle (ICSMA-26-022-01) wird als „Improper Input Validation“-Problem klassifiziert und weist einen CVSS v3.1 Base Score von 9,8 (Kritisch) auf. Betroffen sind folgende Produktversionen:

• EcoStruxure Process Expert (alle Versionen vor v2023)
• EcoStruxure Process (alle Versionen vor v2023)

Eine erfolgreiche Ausnutzung könnte Angreifern die Remote-Codeausführung ermöglichen, was zu unautorisiertem Systemzugriff, Prozessstörungen oder Datenmanipulation in industriellen Steuerungsumgebungen führen könnte. Bisher wurden keine öffentlichen Exploits oder aktive Angriffe gemeldet.

Auswirkungen der Schwachstelle

EcoStruxure Process Expert wird in kritischen Infrastrukturbereichen wie Energie, Wasser und Fertigung häufig eingesetzt. Ein Kompromittierung könnte folgende Folgen haben:

• Betriebsausfälle in industriellen Prozessen
• Sicherheitsrisiken durch manipulierte Steuerungssysteme
• Datenlecks, falls sensible Prozessdaten exfiltriert werden

Empfehlungen

Schneider Electric fordert Anwender dringend auf, sofort auf Version v2023 oder neuer zu aktualisieren. Zusätzliche Maßnahmen zur Risikominderung umfassen:

• Isolierung betroffener Systeme von nicht vertrauenswürdigen Netzwerken
• Implementierung von Netzwerksegmentierung, um laterale Bewegungen einzuschränken
• Überwachung auf verdächtige Aktivitäten in OT-Umgebungen (Operational Technology)

Weitere technische Details finden Sie in der CISA-Advisory oder im CSAF-Dokument.

Diese Schwachstelle unterstreicht die Bedeutung zeitnaher Patches in OT-Umgebungen, in denen veraltete Systeme oft moderne Sicherheitskontrollen vermissen lassen.