Am 15. Oktober 2026 veröffentlichte Mitsubishi Electric die Sicherheitsmitteilung 2026, die vier Schwachstellen in den SCADA- und Visualisierungssoftwareprodukten GENESIS64, ICONICS Suite, Hyper Historian, AnalytiX, MobileHMI, IoTWorX, MC Works64, GENESIS32 und BizViz behandelt. Die schwerwiegendste Schwachstelle, CVE-2026-16438, weist einen CVSS-v4.0-Basiswert von 9,4 auf. Sie resultiert aus einer Installationsroutine, die dem Administratorkonto des Produkts standardmäßig DCOM-Berechtigungen zuweist, die niemals hätten erteilt werden dürfen. Dies ermöglicht es diesem Konto, DCOM-Objekte, die normalerweise eine UAC-Rechteausweitung erfordern, lokal oder remote zu starten und zu steuern. 

Dieser Schwachstellenfall bei Mitsubishi Electric im Jahr 2026 erfordert eine differenzierte Betrachtung. Drei der vier CVEs setzen Administratorrechte oder die Kenntnis eines statischen Entsperrwerts voraus, und die vierte Schwachstelle (CVE-2023-4863) ist eine drei Jahre alte libwebp-Sicherheitslücke, die in älteren Builds integriert ist. Bislang liegen keine Berichte über eine Ausnutzung dieser Produkte vor. Die Sicherheitsmitteilung enthält jedoch ein ungewöhnliches operatives Detail: Die wirksamste Behebung, ICONICS Suite 10.98, entfernt die betroffene Funktion „Security Challenge“ vollständig, und drei Produkte (MC Works64, GENESIS32, BizViz) erhalten keinerlei Sicherheitsupdates mehr. 

Analysestand: 28. Oktober 2026. Primärquellen: Mitsubishi Electric Advisory 2026-006, CISA Advisory ICSA-26-300-02, Datensätze des CVE-Programms sowie ICONICS-Releasedokumentation. 

Management Summary 

Die Sicherheitsmitteilung 2026-006 von Mitsubishi Electric (vom 15. Oktober 2026; von der CISA am 27. Oktober als ICSA-26-300-02 erneut veröffentlicht) umfasst vier CVEs in der SCADA-Software der ICONICS-Produktfamilie: CVE-2023-4863 (libwebp, CVSS v4 9,3), CVE-2026-16436 (statischer Challenge-Response-Wert, 9,2), CVE-2026-16437 (beschreibbare Challenge-Datei, 7,1) und CVE-2026-16438 (übermäßige DCOM-Berechtigungen, 9,4). Eine Ausnutzung setzt lokalen Administratorzugriff, denselben Administrator-Account oder den Besitz eines statischen Entsperrwerts voraus. Bislang wurden weder eine tatsächliche Ausnutzung noch öffentliche Proof-of-Concepts oder Verbindungen zu Bedrohungsakteuren gemeldet. Sicherheitsupdates stehen in ICONICS Suite 10.97.3 und 10.98, IoTWorX 10.98 sowie GENESIS 11.04 zur Verfügung; für MC Works64, GENESIS32 und BizViz werden ausschließlich risikomindernde Maßnahmen (Mitigations) bereitgestellt. Verantwortliche für die Cybersicherheit sollten installierte Versionen überprüfen, Anmeldungen und Fernzugriffe auf betroffene Systeme einschränken, den Workaround des Herstellers für die Challenge-Datei umsetzen und das Upgrade auf Version 10.98 einplanen. 

Zentrale Erkenntnisse im Überblick 

Was ist vorgefallen? 

Bei der Sicherheitsmitteilung 2026-006 handelt es sich um eine neu herausgegebene Herstellerwarnung mit neu zugewiesenen CVE-Identifikatoren – nicht um die Aktualisierung einer älteren Meldung und nicht um den Bericht über einen eingetretenen Cyber-Angriff. Gemäß der Mitteilung von Mitsubishi Electric handelt es sich um folgende vier Schwachstellen: 

• CVE-2023-4863: Ein Out-of-bounds Write (CWE-787) in libwebp, einer Softwarekomponente, die in GENESIS64 und ICONICS Suite 10.97 bis 10.97.2 eingebettet ist. Eine Ausnutzung setzt voraus, dass ein lokal angemeldeter Angreifer als Produktadministrator eine manipulierte Datei importiert. 

  
  

• CVE-2026-16436: Ein unzureichender Mechanismus zur Passwortwiederherstellung (CWE-640). In der Sicherheitsfunktion „Security Challenge“ der Produkte ist die Challenge-Response zum Entsperren des Systems für alle Benutzer identisch und statisch definiert. Wer diesen Wert erlangt, kann das System entsperren. 

  
  

• CVE-2026-16437: Dieselbe Schwachstellenklasse (CWE-640), jedoch lokal wirksam. Administratoren verfügen über Lese- und Schreibrechte auf die Verwaltungsdatei, in der die Challenge-Response gespeichert ist. 

  
  

• CVE-2026-16438: Fehlerhafte Rechtevergabe (CWE-266). Die Installationsprogramme weisen dem Administratorkonto des Produkts standardmäßig unnötige DCOM-Berechtigungen zu. 

CVE-2026-16437 und CVE-2026-16438 sind zusammen mit CVE-2026-16436 und CVE-2023-4863 Gegenstand derselben Sicherheitsmitteilung. Dies lediglich als Problem zweier CVEs zu behandeln, würde das Expositionsrisiko unterschätzen, da CVE-2026-16436 die einzige Schwachstelle in diesem Set ist, die ohne bestehende Berechtigungen eingestuft wurde. 

Die ICS-Sicherheitsmeldung der CISA wird in ihrer Versionshistorie als wortgleiche Übernahme der Mitteilung von Mitsubishi Electric auf Basis der CSAF-Daten des Herstellers geführt. Sie enthält keine eigenständige technische Analyse. 

Chronologie der Schwachstellen-Offenlegung 

Entdeckung, Erstoffenlegung und Zweitveröffentlichung stellen jeweils separate Ereignisse dar. Die Meldung der CISA vom 27. Oktober stellt keinen neuen technischen Befund dar. 

Technische Analyse der Schwachstellen 

CVE-2026-16438: DCOM-Berechtigungen und UAC 

Laut Mitteilung vergeben die betroffenen Produkte bei der Installation dem Administratorkonto des Produkts „unnötigerweise standardmäßige DCOM-Berechtigungen“. Dadurch können Benutzer dieses Kontos DCOM-Objekte, die regulär eine UAC-Rechteerweiterung erfordern, lokal oder remote starten und ausführen. Die Bewertung spiegelt einen netzwerkbasierten Angriffsvektor, geringe Komplexität, hohe erforderliche Privilegien sowie erhebliche Auswirkungen auf das betroffene System und nachgelagerte Systeme wider.

Zwei Aspekte sind hierbei wesentlich: Erstens resultiert die Bewertung von 9,4 bei PR:H aus dem Netzwerkvektor und den potenziellen Auswirkungen auf Folgesysteme – nicht daraus, dass ein nicht authentifizierter Angreifer unmittelbaren Zugriff erhält. Zweitens nennt die Sicherheitsmitteilung weder die exponierten DCOM-Objekte noch die geänderten Berechtigungseinträge, noch wird spezifiziert, ob die Änderung auf bestimmte Applikations-IDs begrenzt ist oder systemweite Standardeinstellungen betrifft. Diese technischen Details sind öffentlich nicht dokumentiert. Rückschlüsse auf die genaue Exploit-Mechanik anhand öffentlicher Quellen sind rein spekulativ. 

Zudem bleibt die Formulierung „Administrator-Account der betroffenen Produkte“ interpretationsbedürftig. Der CVSS-Vektor und die herstellerseitigen Mitigations (Beschränkung der Anmeldungen auf Administratoren, Sperrung von Fernzugriffen für Nicht-Administratoren) deuten auf ein Windows-Konto hin. Der Text stellt jedoch nicht abschließend klar, ob ein anwendungsspezifisches Sicherheitskonto oder ein lokaler Windows-Administrator gemeint ist. Betreiber von KRITIS- und Industrieanlagen sollten vorsorglich beide Kontoarten als betroffen einstufen, bis Mitsubishi Electric oder ICONICS eine Präzisierung bereitstellt. 

CVE-2026-16436 und CVE-2026-16437: Die Sicherheitsfunktion „Security Challenge“ 

In der Dokumentation von ICONICS wird Security Challenge als Ausfallsicherung für Administratoren beschrieben, die ihr Passwort vergessen haben oder auf Anmeldefehler stoßen. In der Online-Hilfe zu Version 10.97 öffnet der Administrator einen Challenge-Dialog und übermittelt die angezeigte Zeichenfolge an den technischen Support von ICONICS. Der Hersteller bestätigt nun, dass der zur Entsperrung genutzte Antwortwert statisch und für alle Benutzer identisch ist.

Der Wortlaut des Herstellers lässt eine Frage offen: „Für alle Benutzer identisch“ kann bedeuten, dass der Wert für alle Konten innerhalb einer Installation gilt oder installationsübergreifend derselbe ist. Dieser Unterschied ist gravierend: Eine installationsspezifische Konstante stellt ein lokales Geheimhaltungsrisiko dar; eine globale Konstante betrifft die Geheimhaltung über die gesamte Produktbasis hinweg. Zudem führt die Mitteilung lediglich an, dass Angreifer die Antwort „auf irgendeine Weise“ erlangen könnten, beschreibt jedoch keinen Pfad für einen Remote-Zugriff. CVSS v4 bildet dies über die Metriken AT:P (Attack Requirements Present) und PR:N ab; der Score von 9,2 setzt somit voraus, dass der Angreifer diesen Wert bereits besitzt. 

CVE-2026-16437 stellt das lokale Gegenstück dar: Ein Administrator kann die Verwaltungsdatei, welche die Response speichert und laut Mitteilung durch Windows geschützt wird, lesen und verändern. In der Praxis handelt es sich um ein Problem fehlender Funktionstrennung (Separation of Controls): Jeder Benutzer mit Windows-Administratorrechten auf dem SCADA-Host kann den Entsperrmechanismus manipulieren. 

CVE-2023-4863: Drittanbieter-Bibliothek in einem SCADA-Produkt 

Hierbei handelt es sich um den Heap-basierten Pufferüberlauf in libwebp, der 2023 aktiv in Chromium ausgenutzt und am 13. September 2023 in den KEV-Katalog der CISA aufgenommen wurde. Einige Threat-Intelligence-Feeds kennzeichnen diesen Eintrag pauschal als „ausgenutzt“, was Fehlinterpretationen der Mitsubishi-Warnung begünstigt. Diese Einstufung bezieht sich originär auf die Schwachstelle in Webbrowsern, nicht auf verifizierte Angriffe gegen GENESIS64 oder ICONICS Suite. In diesen Produkten erfordert die Schwachstelle einen lokal angemeldeten Administrator, der eine manipulierte Datei importiert; der Hersteller vergibt daher den Vektor AV:L/PR:H (9,3 unter CVSS v4). Die ältere generische NVD-Bewertung liegt bei 8,8 unter CVSS v3.1, was ein abweichendes Bedrohungsmodell widerspiegelt.

Ursachenanalyse: Wie kam es zu den Schwachstellen? 

Das Muster über die drei 2026er CVEs hinweg liefert wichtigere Erkenntnisse als die isolierte Betrachtung einzelner Scores. 

• Konzeptionelle Schwächen bei Authentifizierungsdaten: Ein Wiederherstellungsmechanismus, der auf einer einzigen statischen Antwort basiert, bietet kein angemessenes Schutzniveau – unabhängig vom Kreis der Geheimnisträger. Die Fehlerbehebung des Herstellers besteht im vollständigen Rückbau: In den Versionshinweisen zu ICONICS 10.98 wird bestätigt, dass die Security-Challenge-Funktion ersatzlos entfernt wurde. 

  
  

• Rechtevergabe während der Installation: CVE-2026-16438 entsteht während des Setup-Prozesses und nicht durch einen Laufzeitfehler. Einmalig durch eine Installationsroutine gesetzte Berechtigungsbaselines verbleiben oft über den gesamten Lebenszyklus des Systems unverändert und werden von OT-Betriebsteams selten auditiert. 

  
  

• Ausschließlicher Verlass auf Windows-Dateiberechtigungen: Die Challenge-Datei stützt sich auf Zugriffskontrolllisten (ACLs) des Betriebssystems, die wirkungslos werden, sobald ein Angreifer über lokale Administratorrechte verfügt. Die Handlungsempfehlung des Herstellers adressiert dies, indem sie vorschreibt, den Schreibzugriff auf ein dediziertes Administratorkonto zu beschränken, das vom GENESIS-Administrator getrennt ist. 

  
  

• Eingebettete Softwarekomponenten: CVE-2023-4863 verdeutlicht das Risiko vererbter Schwachstellen, wenn Drittanbieter-Bibliotheken in Industriekomponenten integriert sind und Upstream-Patches über Jahre hinweg nicht nachgezogen werden. 

Dies beschreibt keine bislang praktisch demonstrierten oder ausgenutzten Softwarefehler, sondern eine Einstufung der dokumentierten Schwachstellenklassen (CWE-640, CWE-266, CWE-787). 

Potenzielle Auswirkungen auf industrielle Steuerungsumgebungen 

Die folgende Darstellung beschreibt ein hypothetisches Angriffsszenario und keinen beobachteten Vorfall; technische Ausführungsdetails wurden bewusst ausgelassen. 

1. Ausgangslage: Ein Angreifer hat Zugriff auf das Unternehmensnetzwerk oder einen Fernzugangspfad in das SCADA-Netzsegment erlangt und verfügt über Zugangsdaten für das Produkt-Administratorkonto (CVE-2026-16438), kennt den statischen Entsperrwert (CVE-2026-16436) oder besitzt bereits lokale Administratorrechte (CVE-2026-16437, CVE-2023-4863). 

   
   

2. Erreichbarkeit: Für netzwerkbasierte Szenarien ist die Netzwerk-Erreichbarkeit des SCADA-Hosts zwingend erforderlich. Fehlt diese Verbindung, kann der Remote-Angriffsvektor nicht ausgenutzt werden. 

   
   

3. Ausführung: Der Angreifer nutzt die Schwachstelle, um die Anwendung mit höheren Rechten als vorgesehen zu steuern oder die Authentifizierungsschicht des Produkts zu umgehen. 

   
   

4. Schadenspotenzial: Der Hersteller nennt Informationsabfluss, Datenmanipulation, Zerstörung oder Löschung von Informationen sowie Denial-of-Service-Zustände als mögliche Konsequenzen. 

Analytische Zuordnung zu MITRE ATT&CK for ICS (Technik-IDs sind vor der operativen Nutzung zu verifizieren): Valid Accounts (T0859) und Remote Services (T0886) für den Erstzugriff; Data from Information Repositories (T0811) bezüglich Historian- oder Konfigurationsdaten; Manipulation of View (T0832) und Modify Parameter (T0836) bei Manipulationsszenarien; Denial of Service (T0814) bei Beeinträchtigung der Verfügbarkeit. Diese Zuordnungen basieren auf den Herstellerangaben und stellen kein nachgewiesenes Bedrohungsgeschehen dar. 

Betroffene Produkte und Versionen 

Die Produktrollen dienen als orientierende Beschreibungen; sie sind im Advisory nicht verbindlich normiert. 

Zwei Abgrenzungen sind zu beachten, die in Sekundärberichten häufig verwischt werden: Unter CVE-2026-16438 werden GENESIS 11, IoTWorX, GENESIS32 und BizViz nicht aufgeführt. Zudem ist MC Works64 von allen drei 2026er CVEs betroffen, ohne dass ein Patch geplant ist. 

Verfahren zur Versionsprüfung 

Gemäß Herstellerangaben unter Windows 11: Einstellungen öffnen, Bereich „Apps“, anschließend „Apps und Features“ wählen: 

• GENESIS: Betroffen, wenn für „ICONICS GENESIS“ die Version 11.3.578 oder früher angezeigt wird. 

  
  

• GENESIS64 / ICONICS Suite (CVE-2023-4863): Betroffen, wenn für „ICONICS Suite“ eine Version von 10.97.020.27 bis 10.97.212.46 angezeigt wird. 

  
  

• GENESIS64, ICONICS Suite, Hyper Historian, AnalytiX, MobileHMI, IoTWorX (2026er CVEs): Betroffen, wenn für „ICONICS Suite“ die Version 10.97.306.55 oder früher ausgewiesen ist. Für GENESIS64, MobileHMI, Hyper Historian und AnalytiX ist der Eintrag der „Suite“ zu prüfen, da sie über diese Installationsroutine ausgeliefert werden. 

Potenzielle Auswirkungen auf SCADA- und industrielle Betriebsprozesse 

Die folgenden Punkte stellen potenzielle, vom Hersteller beschriebene oder aus der Systemfunktion abgeleitete Risiken dar; es handelt sich nicht um verifizierte Vorfälle. Das tatsächliche Schadensausmaß hängt maßgeblich von der jeweiligen Netzarchitektur ab. 

• SCADA-Überwachung und HMI-Betrieb: Eine unautorisierte Bedienung des Produkts kann Prozessbilder, Ansichten oder Konfigurationen verändern. Dies beeinträchtigt die Informationsbasis des Bedienpersonals. Die Integrität der Visualisierung ist unmittelbar sicherheitsrelevant, sofern Entscheidungen des Betriebspersonals darauf basieren. 

  
  

• Integrität des Historian-Systems: In Hyper-Historian-Installationen führen Manipulationen oder Löschungen zu unbrauchbaren Trendaufzeichnungen, Alarm- und Ereignisprotokollen. Dies beeinträchtigt nachgelagerte Berichtsprozesse, Ursachenanalysen sowie gesetzliche Nachweispflichten. 

  
  

• Verfügbarkeit: Der Hersteller nennt Denial of Service als mögliches Szenario. Bei einem einzelnen SCADA-Server bedeutet dies in der Regel den Verlust der Prozessbeobachtung, nicht zwingend den Verlust der Steuerungsfähigkeit, da Speicherprogrammierbare Steuerungen (PLC) prozessnah meist autark vom HMI agieren. Diese Trennung ist anlagenspezifisch zu bewerten. 

  
  

• Fernwirktechnik und Anbindung des Anlagennetzes: Eine administrative Kompromittierung des SCADA-Hosts bietet einen wirksamen Pivot-Punkt für Angriffe auf Steuerungen (PLC) und Engineering-Stationen. 

  
  

• Sicherheitsrelevante Überwachung: Wenn Meldesysteme oder sicherheitsnahe Überwachungsfunktionen denselben Software-Stack nutzen, wiegt ein Integritätsverlust besonders schwer. Sicherheitsgerichtete Steuerungen (SIS) sind im Regelfall netzwerktechnisch und logisch getrennt zu betreiben; diese Annahme muss jedoch vor Ort verifiziert werden. 

Ein anfälliger Host führt nicht zwingend zu einer kompromittierbaren Gesamtinstallation. Ein GENESIS64-Server ohne Remote-Zugriff für Administratoren, mit dediziertem Einzelbenutzerkonto, lokaler Firewall und ohne eingehende Routen aus dem IT-Unternehmensnetz weist ein deutlich geringeres Risikoprofil auf als eine flache Netzwerkarchitektur mit geteilten administrativen Konten und unregulierten Drittanbieter-Fernzugängen. 

Liegen Nachweise über eine aktive Ausnutzung vor? 

Nein. In den geprüften Quellen berichten weder der Hersteller noch die CISA oder nachgelagerte Fachpublikationen über Angriffe auf Basis von CVE-2026-16436, CVE-2026-16437 oder CVE-2026-16438. Berichte von Daily Security Review und SecurityOnline verweisen darauf, dass keine öffentlichen Exploits (Proof-of-Concept) vorliegen. Ein externer Tracker meldet, dass CVE-2026-16438 nicht im KEV-Katalog der CISA gelistet ist; eine Prüfung dieses Katalogs hinsichtlich der übrigen CVEs sollte fester Bestandteil des internen Schwachstellenmanagements sein. Die öffentlichen EPSS-Werte für die neuen CVEs lagen zum Recherchezeitpunkt deutlich unter 1 %. 

Bislang konnten diesen Schwachstellen keine Bedrohungsakteure, Angriffskampagnen, Schadensereignisse, Produktionsausfälle oder finanziellen Verluste zugeordnet werden. Die beteiligten Sicherheitsforscher werden in der Meldung nicht namentlich aufgeführt; der CVE-Eintrag führt den Entdecker als unbekannt. 

Ungeklärt bleibt: Über welchen Pfad Angreifer an die statische Challenge-Response gelangen können, welche DCOM-Objekte exponiert sind, ob nicht-öffentlicher Exploit-Code zirkuliert und wie viele Systeme weltweit mit veralteten Versionen betrieben werden.

Relevanz für CISOs und OT-Sicherheitsteams 

Die isolierten CVSS-Werte treten hinter drei strukturellen Faktoren zurück: 

Erstens: Die Versionsgrenze „10.97.3 und früher“ tritt wiederholt auf. Mehrere Sicherheitsmeldungen für diese Produktfamilie im Jahr 2026 – darunter Schwachstellen bei der Speicherung von SQL-Zugangsdaten im Advisory 2025-023 – weisen dieselbe Versionsgrenze auf. Das sequentielle Patchen einzelner CVEs auf dem Entwicklungsstand 10.97.x bindet unverhältnismäßig viele Ressourcen; die Fehlerbehebungen konsolidieren sich erst im Versionszweig 10.98. Dies ist eine analytische Beobachtung historischer Veröffentlichungsmuster, keine Vorhersage. 

Zweitens: Die Fehlerbehebung erfordert ein Versionsupgrade statt eines Hotfixes. Die Versionshinweise zu 10.98 beschreiben einen grundlegend neuen Installer, das Entfernen der Security-Challenge-Funktion und den Ausschluss des OPC Local Discovery Servers aus der Standardinstallation. Diese Modifikationen können bestehende Implementierungen, Disaster-Recovery-Prozesse und Schnittstellen beeinträchtigen. Das Upgrade auf 10.98 erfordert somit ein strukturiertes Projektmanagement mit Tests, definierten Wartungsfenstern, Datensicherungen und formalen Freigaben durch das OT-Engineering. 

Drittens: Nicht mehr unterstützte Produkte verbleiben dauerhaft verwundbar. Für MC Works64, GENESIS32 und BizViz werden keine Patches bereitgestellt. Das damit verbundene Risiko lässt sich nur durch kompensierende Kontrollen oder Systemmigrationen beherrschen. Der Migrationsleitfaden des Herstellers ist derzeit nur in japanischer Sprache und über einen zugangsbeschränkten Mitgliederbereich verfügbar. 

Erkennung und Expositionsanalyse 

Führen Sie keine unkoordinierten Schwachstellenscans auf produktiven SCADA-Systemen durch. Nutzen Sie primär passive und dokumentengestützte Methoden: 

1. Bestandsaufnahme über Systemdokumentationen: Nutzen Sie Asset-Management-Daten, CMDBs, Anlagenpläne und Lizenzdaten zur Erfassung aller Hosts der ICONICS-Familie. Verifizieren Sie die Versionen gemäß obigem Herstellerverfahren ausschließlich im Rahmen autorisierter Wartungsarbeiten. 

   
   

2. Netzwerk-Erreichbarkeit analysieren: Dokumentieren Sie pro Host, welche Netze und Accounts Zugriff besitzen (inklusive RDP, VPN und Fernwartung Dritter), und prüfen Sie, ob administrative Kennwörter systemübergreifend wiederverwendet werden. 

   
   

3. Challenge-Datei prüfen: Prüfen Sie im Nur-Lese-Modus, ob ClientChallengeTable.dat (Version 10) oder SecurityChallenges.dat (Version 11) existiert und welche Konten Schreibberechtigungen besitzen. Nutzen Sie exakt die herstellerseitigen Pfad- und Dateinamen, da diese in Sekundärberichten teils verkürzt wiedergegeben werden. 

   
   

4. Vorhandene Telemetriedaten auswerten: Standardmäßige Windows-Ereignisprotokolle ermöglichen Sicherheitsanalysen ohne herstellerspezifische IOCs: Erfolgreiche und fehlgeschlagene Anmeldungen sowie Nutzungen administrativer Sonderrechte (Sicherheitsprotokoll), Prozesserstellung, Zugriffsüberwachung (SACL) auf die Challenge-Datei sowie DCOM-Aktivitäten und Berechtigungsfehler im Systemprotokoll. Gleichen Sie die Event-IDs vorab mit Ihrem Windows-Build ab. 

   
   

5. Administratives Verhalten überwachen: Interaktive Administrator-Anmeldungen an SCADA-Systemen von ungewöhnlichen Quelladressen sowie administrative Aktivitäten außerhalb vereinbarter Wartungszeiten sind die wichtigsten Indikatoren für Szenarien gemäß CVE-2026-16438 und CVE-2026-16436. 

Für diese Schwachstellen liegen in den geprüften Quellen keine geprüften Indicators of Compromise (IOCs), YARA- oder Sigma-Regeln vor; solche werden hier auch nicht bereitgestellt.

Abhilfemaßnahmen und Mitigation 

Empfohlene Maßnahmen des Herstellers 

Bezüglich aller vier Schwachstellen empfiehlt Mitsubishi Electric folgende Vorgehensweisen:

• Betroffene Rechner so konfigurieren, dass ausschließlich Administratoren sich anmelden dürfen; 

  
  

• Systeme im LAN betreiben und Remote-Logins aus nicht vertrauenswürdigen Netzwerken, von nicht autorisierten Hosts sowie durch Nicht-Administratoren technisch unterbinden; 

  
  

• Firewalls und VPN-Verbindungen nutzen; Fernzugriffe bei zwingender Internetverbindung ausschließlich autorisierten Administratoren gestatten; 

  
  

• Den physischen Zugang zu den Hostsystemen und der Netzinfrastruktur reglementieren; 

  
  

• Links und Anhänge in E-Mails aus unbekannten Quellen meiden. 

Ergänzende Maßnahmen des Herstellers: Installation von Antivirensoftware auf den SCADA-Hosts (alle CVEs; bezüglich CVE-2026-16438 auch auf Systemen mit Netzwerkzugriff auf diese Hosts); bezüglich CVE-2026-16436 und CVE-2026-16437 das Löschen der Datei .dat, das Anlegen einer leeren Datei gleichen Namens im identischen Pfad sowie die Beschränkung der Schreib- und Löschrechte auf ein dediziertes Administratorkonto abseits des GENESIS-Administrators. Pfadangaben laut Mitteilung: C:\Program Files\ICONICS\GENESIS64\Components\ClientChallengeTable.dat für Version 10 sowie C:\ProgramData\ICONICS\11\SecurityChallenges.dat für Version 11. 

Operativer Sicherheitshinweis (analytische Bewertung): Da „Security Challenge“ dem Wiederherstellen verlorener Kennwörter dient, verändert das Deaktivieren dieser Datei die Notfall-Wiederherstellungsprozesse. Verifizieren Sie vor der Umsetzung zwingend alternative, dokumentierte Wiederherstellungswege und beachten Sie den in Version 10.98 referenzierten Leitfaden „Safeguarding Security Server Access“. 

Priorisierter Maßnahmenplan

Verzichten Sie auf unkoordinierte Neustarts, automatisierte Patch-Verteilungen oder aggressive Testroutinen auf produktiven SCADA-Systemen. Befolgen Sie ausschließlich herstellerkonforme Prozesse innerhalb freigegebener Wartungsfenster mit technischer Freigabe durch das Engineering. 

Checkliste für die OT-Sicherheit 

• [ ] Alle Hosts der ICONICS-Familie identifiziert und Softwareversionen verifiziert 

• [ ] Systeme klassifiziert: Updatefähig, Upgrade geplant oder Software ohne Support 

• [ ] Fernzugriffe technisch auf namentlich benannte Administratoren beschränkt 

• [ ] Keine geteilten Administratorkonten über mehrere SCADA-Systeme hinweg 

• [ ] Workaround zur Challenge-Datei getestet und alternativer Wiederherstellungsweg dokumentiert 

• [ ] Direkte Erreichbarkeit der SCADA-Hosts aus dem Office-Netz unterbunden 

• [ ] Externe Fernwartungszugänge inventarisiert und kontrolliert 

• [ ] Auditierung für Logins und Dateizugriffe auf SCADA-Hosts aktiviert 

• [ ] Datensicherungen und Rückfallszenarien praktisch validiert 

• [ ] Upgrade auf 10.98 / 11.04 inklusive Abnahmetests terminiert 

Erkenntnisse für die industrielle Cybersicherheit 

Verhalten von Installationsroutinen als Angriffsfläche betrachten: Bei der Installation gesetzte Berechtigungsbaselines müssen standardmäßig beim System-Onboarding sowie nach Upgrades überprüft werden. 

Administrative Rollentrennung auf SCADA-Systemen etablieren: Der Workaround des Herstellers zu CVE-2026-16437 weist die Dateikontrolle einem dedizierten Administratorkonto zu, getrennt vom Applikationsadministrator. Dies unterstreicht die Relevanz des Prinzips der Funktionstrennung (Separation of Duties). 

End-of-Support-Systeme im Risikomanagement führen: Die Einstufung „Kein Patch geplant“ erfordert eine formale Risikoübernahme durch den Anlagenbetreiber, abgesichert durch kompensierende Kontrollen und einen definierten Stilllegungsplan. 

Schweregrade kontextbezogen analysieren: Ein CVSS-Wert von 9,4 mit PR:H und ein Wert von 9,2, der auf einem kompromittierten Geheimnis basiert, verlangen andere Abwehrmaßnahmen als unauthentifizierte Netzwerkangriffe. Eine Expositionsanalyse muss die Maßnahmenpriorisierung bestimmen, wie die folgende qualitative Risikomatrix verdeutlicht (Methodik: Systemexposition, Account-Hygiene, Software-Supportstatus und Upgrade-Fähigkeit; keine numerische Skalierung): 

Unterstützung durch Shieldworkz beim industriellen Risikomanagement 

Die Schwachstellen in Advisory 2026-006 hängen primär davon ab, welche Konten sich von wo aus und mit welchen Privilegien anmelden können. Die Absicherung erfordert daher vor allem Transparenz und eine robuste Netzwerkarchitektur. Shieldworkz unterstützt Sie mit OT-Sicherheitsanalysen, Gap-Analysen, Schwachstellenbewertungen und Penetrationstests im OT-Umfeld, um festzustellen, welche SCADA-Systeme betrieben werden, wie diese erreichbar sind und wo Schwachstellen bei Segmentierung oder Berechtigungskonzepten liegen. Die OT-Sicherheitsplattform von Shieldworkz liefert Asset-Inventarisierung und Netzwerk-Monitoring, um SCADA-Installationen zu erfassen und verdächtige administrative Aktivitäten aufzudecken. Ergänzend steht eine Incident-Response-Bereitschaft zur Verfügung, falls Auffälligkeiten im Netz festgestellt werden. Die Versionsprüfung auf den Systemen hat weiterhin nach Herstellervorgaben zu erfolgen; Softwaretools ersetzen die offiziellen Patches des Herstellers nicht. 

Analysieren Sie Ihr industrielles Expositionsrisiko mit Shieldworkz. Identifizieren Sie verwundbare OT-Assets, priorisieren Sie Sanierungsmaßnahmen und stärken Sie die Resilienz Ihrer industriellen Steuerungssysteme: Fordern Sie jetzt eine Sicherheitsanalyse an.

Häufig gestellte Fragen (FAQ) 

Was beinhaltet die Mitsubishi Electric GENESIS64-Schwachstellenmeldung von 2026?  

Sie umfasst vier Schwachstellen im Advisory 2026-006 vom 15. Oktober 2026 für GENESIS64, ICONICS Suite und verbundene Systeme. Die Risiken betreffen einen Speicherfehler in libwebp (CVE-2023-4863), eine statische Entsperr-Response (CVE-2026-16436), eine unzureichend geschützte Challenge-Datei (CVE-2026-16437) sowie übermäßige DCOM-Rechte (CVE-2026-16438). 

Welche ICONICS-Versionen sind betroffen?  

Bezüglich der drei 2026er CVEs: ICONICS Suite, GENESIS64, Hyper Historian, AnalytiX, MobileHMI und IoTWorX 10.97.3 und früher; GENESIS 11.03 und früher; alle Versionen von MC Works64, GENESIS32 und BizViz (produktbezogene Abweichungen möglich). CVE-2023-4863 betrifft GENESIS64 und ICONICS Suite 10.97 bis 10.97.2. 

Was zeichnet CVE-2026-16438 aus?  

Eine inkorrekte Rechtevergabe (CWE-266), bei der das Installationsprogramm dem Administrator-Account des Produkts standardmäßig DCOM-Berechtigungen zuweist. Dadurch können DCOM-Objekte, die regulär UAC-Berechtigungen erfordern, lokal oder remote gestartet und bedient werden. Der CVSS-v4.0-Basiswert beträgt 9,4. 

Ist die Schwachstelle über das Netzwerk ausnutzbar?  

Für CVE-2026-16436 und CVE-2026-16438 ist der Angriffsvektor „Netzwerk“ definiert; beide setzen jedoch Vorbedingungen voraus: Den Besitz der statischen Response im ersten Fall und Zugriff auf das Administratorkonto im zweiten Fall. CVE-2026-16437 und CVE-2023-4863 erfordern zwingend lokalen Zugriff. 

Erfordert ein Angriff zwingend Administratorrechte?  

Für CVE-2026-16438, CVE-2026-16437 und CVE-2023-4863 sind laut CVSS-Bewertung hohe Privilegien erforderlich. CVE-2026-16436 setzt keine Berechtigungen voraus, bedingt aber die Kenntnis der statischen Challenge-Response; das Advisory beschreibt keinen Pfad, wie dieser Wert remote erlangt werden kann. 

Wurden diese Schwachstellen bereits in der Praxis ausgenutzt?  

In den verifizierten Quellen liegen keine Berichte über Angriffe auf diese Produkte vor. Die Ausnutzung von CVE-2023-4863 im Jahr 2023 betraf Webbrowser auf Chromium-Basis, keine SCADA-Lösungen von ICONICS. 

Welche Sofortmaßnahmen sollten Hyper-Historian-Administratoren ergreifen?  

Prüfen Sie die installierte Version der „ICONICS Suite“, begrenzen Sie lokale und entfernte Anmeldungen auf namentliche Administratoren, isolieren Sie das System vom Office-Netzwerk, implementieren Sie den Datei-Workaround nach Freigabetests und bereiten Sie das Upgrade auf Version 10.98 vor. 

Welche Sicherheitsupdates oder Mitigations stellt Mitsubishi Electric bereit?  

Suite 10.97.3 (für CVE-2023-4863); Suite und IoTWorX 10.98 sowie GENESIS 11.04 (für die 2026er CVEs). Für MC Works64, GENESIS32 und BizViz stehen ausschließlich kompensierende Maßnahmen zur Verfügung; eine Migration auf GENESIS64 oder GENESIS wird empfohlen. 

Fazit und Lagebewertung 

Die praxisrelevante Quintessenz der Sicherheitsmitteilung 2026-006 lässt sich auf grundlegende Steuerungsfragen reduzieren: Wer verfügt über Anmeldebefugnisse auf Ihren SCADA-Systemen und existieren ungesicherte administrative Shared Accounts? Welche Systeme sind netzwerkseitig erreichbar? Und in welchen Anlagenabschnitten werden Altsysteme betrieben, für die herstellerseitig keine Sicherheitsupdates mehr erscheinen? 

Betreiber von ICONICS Suite 10.97.x sollten den Wechsel auf 10.98 als reguläres OT-Engineering-Projekt zügig initiieren, anstatt auf weitere Teil-Patches für den Softwarestand 10.97 zu warten. Für Installationen mit MC Works64, GENESIS32 oder BizViz ist eine formale Risikobewertung mit verbindlicher Nachfolgestrategie unerlässlich. Da derzeit keine Anzeichen für aktive Angriffe vorliegen und die Ausnutzbarkeit an spezifische Vorbedingungen geknüpft ist, besteht kein Anlass für unüberlegte Sofortmaßnahmen – wohl aber für eine strukturierte, methodische Abarbeitung.