Wenn niedrige Privilegien ausreichen, um hohen Schaden anzurichten 

In den meisten Cybersecurity-Diskussionen werden Schwachstellen zur Privilege Escalation als Softwareproblem behandelt. In Operational Technology (OT)-Umgebungen sind sie jedoch ein betriebliches Problem. Wenn eine Steuerung das Herzstück eines industriellen Prozesses bildet und Sensoren, Aktoren, Verriegelungen oder Sicherheitssequenzen steuert, ist eine unbefugte Codeausführung auf diesem Gerät nicht nur eine Richtlinienverletzung. Sie ist ein potenzieller Weg zu Prozessunterbrechungen, Anlagenschäden oder Schlimmerem. 

CVE-2025-41669 ist eine Schwachstelle im Phoenix Contact PLCnext-Ökosystem, die die sofortige Aufmerksamkeit jedes Unternehmens erfordert, das PLCnext Control-Geräte mit Firmware-Versionen vor 2026.0.3 betreibt. Die mit CVSS 8.8 (Hoch) eingestufte Schwachstelle ermöglicht es einem authentifizierten Benutzer mit Engineer-Privilegien auf niedriger Ebene, manipulierte Anwendungen über die Web-based Management-Schnittstelle des Geräts zu installieren, was potenziell zu einer unbefugten Codeausführung mit erhöhten oder Root-Privilegien führen kann. Die Schwachstelle wurde offiziell im CERT@VDE-Advisory für CVE-2025-41669 offengelegt, das in Abstimmung mit Phoenix Contact veröffentlicht wurde. 

Das Kernproblem ist offensichtlich: Eine Vertrauensgrenze wurde verletzt. Ein Account auf Engineer-Ebene sollte innerhalb eines begrenzten Berechtigungssatzes operieren. Diese Schwachstelle ermöglicht es, diese Einschränkung zu umgehen. In einer reinen Softwareumgebung ist das schwerwiegend. In einer industriellen Steuerungsumgebung handelt es sich um eine völlig andere Risikokategorie. 

Dieser Blog erläutert, was PLCnext ist, wie diese Schwachstelle funktioniert, was sie für Ihren Betrieb bedeuten könnte und was Ihr Team heute dagegen tun sollte. 

Bevor wir fortfahren, vergessen Sie nicht, unseren vorherigen Blog-Beitrag über "China’s internet-exposed defense systems: Lessons in modern cyber failure " hier zu lesen.

Was ist Phoenix Contact PLCnext? 

Die PLCnext Technology von Phoenix Contact ist ein modernes, offenes Industriesteuerungs-Ökosystem, das die Lücke zwischen traditionellen speicherprogrammierbaren Steuerungen (SPS) und modernen IT-Architekturen schließt. Es unterstützt die Programmiersprachen nach IEC 61131-3 sowie Hochsprachen wie C++ und C# und integriert Linux-basierte Laufzeitumgebungen in eine gehärtete Industriesteuerungsplattform. 

PLCnext-Steuerungen werden in einer Vielzahl von Branchen eingesetzt, darunter in der Fertigung, der Energiewirtschaft, der Gebäudeautomation, der Wasser- und Abwasseraufbereitung sowie der Prozesssteuerung. Ihre Flexibilität macht sie attraktiv für Unternehmen, die ihre Automatisierungsinfrastruktur modernisieren möchten, ohne etablierte Designprinzipien für Steuerungssysteme aufzugeben. Sie unterstützen Edge-Computing, Cloud-Konnektivität und ein reichhaltiges Ökosystem installierbarer Anwendungen – in der PLCnext-Welt als APPs bezeichnet. 

Dieses APP-Ökosystem ist von zentraler Bedeutung für die aktuelle Schwachstelle. Auf PLCnext-Geräten können Anwendungen über eine browserbasierte Web-based Management (WBM)-Schnittstelle installiert, aktualisiert und verwaltet werden. Diese Funktion bietet erhebliche betriebliche Flexibilität. Sie führt jedoch auch die Managementschnittstelle als potenzielle Angriffsfläche ein – insbesondere dann, wenn die Überprüfung der installierten Komponenten nicht ausreichend durchgesetzt wird. 

Das Verständnis, dass PLCnext die vertrauenswürdige Rolle einer Industriesteuerung mit der Architektur einer offenen, App-fähigen Plattform kombiniert, ist ein wesentlicher Kontext, um zu verstehen, warum diese Schwachstelle so schwer wiegt. 

Übersicht über die Schwachstelle: CVE-2025-41669 

CVE-ID: CVE-2025-41669 Schweregrad: CVSS 8.8 (Hoch) Betroffene Versionen: PLCnext-Firmware-Versionen vor 2026.0.3 Behebung: Upgrade auf PLCnext-Firmware 2026.0.3 oder neuer 

Die Schwachstelle wurde formell als Problem einer unzureichenden Überprüfung der kryptografischen Signatur bzw. allgemeiner als unzureichende Authentizitätsprüfung während des APP-Installationsprozesses eingestuft. Wenn eine APP zur Installation über die Web-based Management-Schnittstelle übermittelt wird, versäumt es das Gerät, angemessen zu überprüfen, ob die Anwendung legitim, unmodifiziert und von einer vertrauenswürdigen Quelle stammt. 

Dies bedeutet, dass ein authentifizierter Benutzer mit Zugangsdaten der Engineer-Ebene – ein Benutzer, dem normalerweise kein uneingeschränkter Zugriff auf das Gerät gewährt werden sollte – eine manipulierte oder speziell angefertigte APP über die WBM-Schnittstelle übermitteln kann. Da die Firmware die Integrität oder Herkunft dieser Anwendung nicht ordnungsgemäß validiert, kann sie akzeptiert und ausgeführt werden. Die Ausführung dieses unbefugten Codes könnte mit erhöhten Privilegien erfolgen, bis hin zum Root-Zugriff auf die zugrunde liegende Linux-Umgebung. 

Einfach ausgedrückt: Ein Angreifer, der Zugriff auf einen Engineer-Account erlangt hat oder bereits besitzt, muss keinen mächtigeren Account finden. Die Schwachstelle ermöglicht es ihm, seine vorhandenen Berechtigungen zu nutzen, um weit über das hinauszugehen, was dieser Account eigentlich zulassen sollte. 

Das Advisory wurde über das CERT@VDE in Abstimmung mit Phoenix Contact veröffentlicht. Unternehmen, die PLCnext Control-Geräte mit einer Firmware-Version vor 2026.0.3 einsetzen, sollten dies als aktives Risiko behandeln, das schnelles Handeln erfordert. 

Technische Analyse des Angriffspfads 

Die Engineer-Rolle und ihre beabsichtigten Grenzen 

PLCnext-Geräte implementieren eine rollenbasierte Zugriffskontrolle. Unter den auf der Plattform verfügbaren Benutzerrollen ist die Engineer-Rolle so konzipiert, dass sie es legitimen Automatisierungsexperten ermöglicht, mit dem Gerät zu interagieren – einschließlich der Verwaltung von Anwendungen, der Überwachung des Gerätestatus und der Durchführung von Konfigurationsaufgaben. Es handelt sich um eine funktionale Rolle, die für Ingenieure gedacht ist, die Automatisierungssysteme erstellen, in Betrieb nehmen und warten. 

Konstruktionsbedingt sollte die Engineer-Rolle innerhalb einer definierten Berechtigungsgrenze agieren. Sie sollte nicht in der Lage sein, Kernsystemfunktionen zu ändern, das Verhalten des zugrunde liegenden Betriebssystems zu modifizieren oder Software zu installieren, die mit erhöhten Systemprivilegien ausgeführt wird. Die Schwachstelle hebt diese Grenze auf. 

Die Web-based Management-Schnittstelle als Einstiegspunkt 

Die WBM-Schnittstelle ist ein über den Browser zugängliches Administratorportal, das auf PLCnext-Geräten zur Verfügung steht. Sie bietet autorisierten Benutzern die Möglichkeit, den Gerätestatus einzusehen, Benutzer zu verwalten, Netzwerkeinstellungen zu konfigurieren, APPs zu installieren und zu entfernen sowie andere administrative Aktionen durchzuführen. Es ist eine legitime und nützliche Funktion des PLCnext-Ökosystems. 

Da es sich jedoch um eine über das Netzwerk erreichbare Schnittstelle handelt, stellt sie auch eine Angriffsfläche dar. Wenn ein Angreifer – sei es ein Insider, ein kompromittierter Account-Inhaber oder jemand, der Zugangsdaten durch Phishing oder andere Mittel erlangt hat – die WBM-Schnittstelle mit Engineer-Zugangsdaten erreichen kann, verfügt er über einen funktionalen Einstiegspunkt in das Gerät. 

Die manipulierte APP-Installationskette 

Der Kern dieser Schwachstelle liegt in dem, was passiert, nachdem der Benutzer mit der Rolle