Kurzfassung

Die Schwachstelle CVE-2026-73172 betrifft Advantech EKI-1242EIMS mit Firmware V1.06.01. Ein entfernter Angreifer kann ohne Anmeldung über TCP-Port 5058 Betriebssystembefehle als root ausführen. Der CVSS-Basiswert liegt bei 9.3 und damit im kritischen Bereich.

Was ist passiert?

Für den Management-Dienst edgserver von Advantech EKI-1242EIMS ist eine OS-Command-Injection bekannt geworden. Nach den veröffentlichten Angaben sitzt der Fehler in der unzureichenden Neutralisierung spezieller Zeichen bei der Verarbeitung von Anfragen. Dadurch lässt sich aus der Ferne eigener Code auf Betriebssystemebene ausführen.

Brisant ist vor allem der Kontext: Die Ausführung erfolgt als root. Wer das Gerät administrativ oder technisch in produktionsnahen Netzen einsetzt, muss deshalb von einer vollständigen Kompromittierung des betroffenen Systems ausgehen.

Technische Details

Betroffen ist der edgserver-Managementdienst auf TCP-Port 5058. Die Schwachstelle ist als CWE-78, also OS Command Injection, eingeordnet. Ein Angreifer kann präparierte Anfragen an den Dienst senden und darüber beliebige Betriebssystembefehle einschleusen.

Der CVSS-Basiswert beträgt 9.3 nach CVSS 4.0 und beschreibt die technische Schwere, nicht die tatsächliche Ausnutzung in freier Wildbahn. Der Vektor zeigt: Der Angriff ist über das Netzwerk möglich, die Angriffskomplexität ist gering, es sind keine Berechtigungen und keine Nutzerinteraktion nötig.

Besonders kritisch ist die Kombination aus Remote-Angriff, fehlender Authentifizierung und root-Rechten nach erfolgreicher Ausnutzung. Das macht die Lücke für direkte Angriffe auf exponierte Systeme ebenso relevant wie für laterale Bewegung in internen Netzen.

Wer ist betroffen?

Genannt wird Advantech EKI-1242EIMS mit Firmware-Version V1.06.01. Ob weitere Firmware-Stände, Nachfolgeversionen oder andere Modelle der EKI-Reihe ebenfalls betroffen sind, ist nicht mitgeteilt.

Für Unternehmen im DACH-Raum ist das vor allem dort relevant, wo industrielle Netzwerkkomponenten, serielle Geräte-Server oder OT-nahe Infrastruktur von Advantech im Einsatz sind. Wer das Modell nicht nutzt, ist von dieser konkreten CVE nicht betroffen.

Empfohlene Maßnahmen

Prüfen Sie zuerst, ob EKI-1242EIMS-Geräte mit Firmware V1.06.01 in Ihrem Bestand vorhanden sind. Inventarisierung und Abgleich gegen OT- und Netzwerkdokumentation haben hier Vorrang, weil viele dieser Systeme nicht in klassischen Endpoint-Tools auftauchen.

Falls das Gerät im Einsatz ist, sollte der Zugriff auf TCP-Port 5058 sofort auf strikt notwendige Management-Quellen begrenzt werden. Ist der Dienst nicht zwingend erforderlich, trennen Sie ihn per Firewall-Regel oder Netzwerksegmentierung vom restlichen Netz. Systeme mit direkter Erreichbarkeit aus unsicheren Netzen oder dem Internet sollten umgehend isoliert werden.

Überwachen Sie zusätzlich Protokolle, Firewall-Treffer und Netzwerkverkehr auf Zugriffe zu Port 5058 sowie auf auffällige Prozess- oder Befehlsausführung auf dem Gerät. Da die Ausführung als root möglich ist, sollten kompromittierte Systeme nicht nur neu gestartet, sondern forensisch bewertet und im Zweifel vollständig neu bereitgestellt werden.

Ein Hersteller-Advisory oder Patch-Link wurde nicht mitgeteilt. Ob bereits ein Sicherheitsupdate bereitsteht, hat der Hersteller hier nicht angegeben.

Einschätzung von CyberSecurity-News.de

Die technische Tragweite ist hoch, weil eine nicht authentifizierte Remote-Ausführung von Befehlen als root in OT-naher Infrastruktur zu den riskantesten Fehlertypen gehört. Der CVSS-Wert ist hier nachvollziehbar, auch wenn er allein nichts über laufende Angriffe aussagt.

Die Informationslage bleibt trotzdem unvollständig. Es fehlt vor allem eine klare Aussage zu weiteren betroffenen Versionen, zu verfügbaren Updates und zu möglichen Übergangsmaßnahmen des Herstellers. Für Administratoren erschwert das die Priorisierung, wenn Geräte nur indirekt dokumentiert sind oder in Außenstellen laufen.

Für die meisten Leser ist das kein Breitenthema, für Betreiber mit Advantech-Komponenten aber sehr wohl ein Fall für sofortige Prüfung. Gerade im OT-Umfeld wiegt eine solche Lücke schwerer als bei gewöhnlichen IT-Systemen, weil Segmentierung, Wartungsfenster und Asset-Transparenz dort oft schwächer ausgeprägt sind.

Fazit

Wenn Sie Advantech EKI-1242EIMS mit Firmware V1.06.01 betreiben, sollten Sie Port 5058 sofort absichern und die Systeme auf Exposition prüfen. Ohne bestätigten Patch gilt: Zugriff minimieren, Geräte segmentieren, verdächtige Aktivitäten untersuchen und betroffene Installationen eng überwachen.

Quellenangabe

Weiterführende technische Informationen bietet der NVD-Eintrag zu CVE-2026-73172.