Siemens RUGGEDCOM ROX II: Drei Zero-Day-Lücken gefährden industrielle Netzwerke

Hier die ausführliche, belegte Analyse.

Die drei chained Zero-Day-Schwachstellen im Detail

Das Forschungsteam Unit 42 von Palo Alto Networks hat in Zusammenarbeit mit Siemens eine Exploit-Kette aus drei Zero-Day-Lücken in den OT-Switches der Siemens RUGGEDCOM ROX II Reihe aufgedeckt. Dabei handelt es sich um die CVE-2025-40948, CVE-2025-40947 und CVE-2025-40949. Ein erfolgreicher Angriff über diese Kette ermöglicht einem Angreifer die vollständige Rechteausweitung (Privilege Escalation) und einen persistenten Zugriff mit Root-Rechten auf dem Gerät .

Die Kette funktioniert in folgenden Schritten:

• CVE-2025-40948 (CVSS 6.8, Mittel) – Unberechtigter Dateizugriff über eine unsichere Konfiguration des xz-Dienstprogramms, das mit Root-Rechten läuft. Ein Angreifer kann beliebige Dateien auf dem Switch lesen, darunter Konfigurationsdateien, Passwort-Hashes und private kryptografische Schlüssel .
• CVE-2025-40947 (CVSS 7.5, Hoch) – Rechteausweitung durch Befehlseinschleusung (Command Injection) in der Funktion zur Überprüfung von Feature-Keys. Die Funktion bereinigt eine vom Angreifer kontrollierte Eingabe nicht ausreichend, bevor sie in einen Befehl eingefügt wird, der mit Root-Rechten ausgeführt wird. Dies ermöglicht einen vollständigen Root-Zugriff .
• CVE-2025-40949 (CVSS 9.1, Kritisch) – Persistente Codeausführung mit Root-Rechten im Web-Management-Task-Scheduler des Switches aufgrund unzureichender Eingabebereinigung (Improper Input Sanitization). Nach der Ausnutzung kann der Angreifer langfristig persistente Root-Zugriffe auf dem Gerät aufrechterhalten .

Betroffene Geräte und Firmware-Versionen

Alle Geräte der RUGGEDCOM ROX II Familie mit einer Firmware vor V2.17.1 sind betroffen. Die spezifischen Modelle im Einzelnen:

• RUGGEDCOM ROX MX5000
• RUGGEDCOM ROX MX5000RE
• RUGGEDCOM ROX RX1400
• RUGGEDCOM ROX RX1500
• RUGGEDCOM ROX RX1501
• RUGGEDCOM ROX RX1510
• RUGGEDCOM ROX RX1511
• RUGGEDCOM ROX RX1512
• RUGGEDCOM ROX RX1524
• RUGGEDCOM ROX RX1536
• RUGGEDCOM ROX RX5000

Für alle genannten Modelle wird bestätigt, dass sie von jeder der drei CVEs in Versionen unter V2.17.1 betroffen sind .

Abhilfe und Maßnahmen

Siemens hat die Sicherheitsmeldung SSA-577017 am 12. Mai 2026 veröffentlicht und für die gesamte RUGGEDCOM ROX II Familie ein Firmware-Update auf V2.17.1 bereitgestellt . Die empfohlene Maßnahme ist die Aktualisierung auf V2.17.1 oder höher über den Siemens Industry Online Support .

Auch die Cybersecurity and Infrastructure Security Agency (CISA) der USA hat am 14. Mai 2026 eine entsprechende Warnung herausgegeben und die Betreiber eindringlich aufgefordert, das Firmware-Update einzuspielen . Für das verwandte Gerät RUGGEDCOM APE1808 rät Siemens, sich zwecks Patch- und Update-Informationen direkt an den Kundendienst zu wenden .

Breitere Auswirkungen auf die Sicherheit kritischer Infrastrukturen

• OT-Netzwerk-Rückgrat gefährdet. RUGGEDCOM ROX Switches bilden das Netzwerk-Kernstück von Umspannwerken, Pipeline-Steuerungssystemen und industriellen Netzwerken. Ein vollständiger Root-Zugriff auf diese Geräte könnte es einem Angreifer ermöglichen, industrielle Prozesse in großem Umfang zu stören, zu manipulieren oder zu überwachen .
• Gekoppelter Exploit senkt die Hürde für Angreifer. Anstatt eine einzelne kritische Schwachstelle zu benötigen, erlaubt diese Dreier-Kette einem Angreifer, vom Auslesen von Dateien bis zu persistenter Root-Kontrolle aufzusteigen. Dieses modulare Angriffsmuster wird in OT-Kampagnen zunehmend beobachtet .
• Weit verbreitete installierte Basis. Die Schwachstelle erstreckt sich über elf Gerätemodelle, die weltweit in den Sektoren Energie, Fertigung, Wasser und Transport eingesetzt werden. Viele dieser Geräte befinden sich in Umgebungen mit langen Patch-Zyklen und eingeschränkter Netzwerksegmentierung .
• Steigende Patch-Last für NIS2-regulierte Betreiber. Diese Offenlegung ist Teil eines übergreifenden Trends: Allein zwischen August und Dezember 2025 veröffentlichte Siemens sechs kritische OT-Sicherheitsmeldungen. Die zunehmende Anzahl von Schwachstellen belastet die Betreiber, die sowohl die Verfügbarkeit aufrechterhalten als auch tief in der Netzwerkinfrastruktur verankerte Geräte patchen müssen .
• Abhängigkeit von Drittanbietern. Zusätzlich zu den drei Zero-Days bündelt die Siemens-Meldung SSA-577017 Dutzende von Schwachstellen aus Drittanbieter-Komponenten (darunter Fehler im U-Boot-Bootloader), die ebenfalls in V2.17.1 behoben werden. Dies unterstreicht, wie sehr die Softwarezusammensetzung der Lieferkette die Sicherheit von OT-Geräten beeinflusst .

Bislang gibt es keine veröffentlichten Hinweise auf eine aktive Ausnutzung dieser Schwachstellen in der Praxis. Unit 42 betont jedoch, dass Angreifer mit Netzwerkzugriff auf die Managementschnittstelle diese Kette aus der Ferne ausnutzen könnten .