Kurzfassung
Hitachi Energy RTU500 in End-of-Life-Versionen weist zwei kritische Schwachstellen auf: CVE-2026-8065 und CVE-2026-8066. Beide sind mit CVSS 9.1, kritisch bewertet und lassen sich laut NVD über das Netzwerk ohne Anmeldung und ohne Nutzerinteraktion ausnutzen. Für Betreiber solcher Systeme zählt vor allem eines: betroffene Altgeräte identifizieren, Netzpfade sofort begrenzen und die Ablösung dieser Versionen priorisieren.
Was ist passiert?
Betroffen ist die RTU500 von Hitachi Energy, also eine Fernwirkplattform, wie sie typischerweise in industriellen und energienahen Umgebungen eingesetzt wird. Die beiden gemeldeten Schwachstellen betreffen ausdrücklich End-of-Life-Versionen.
CVE-2026-8065 beschreibt eine Umgehung der Authentifizierung am Endpunkt für Firmware-Updates. Ein Angreifer kann dadurch präparierte POST-Anfragen senden und beliebige Firmware hochladen, ohne sich zuvor anmelden zu müssen.
CVE-2026-8066 betrifft die Upload-Funktion und erlaubt Directory Traversal. Darüber kann ein nicht authentisierter Angreifer beliebige Dateien im Dateisystem des Geräts schreiben oder überschreiben. Je nach Zielpfad kann das die Funktion des Systems verändern oder den Betrieb stören.
Für Unternehmen im DACH-Raum ist das vor allem dort relevant, wo RTU500-Systeme noch in Bestandsanlagen laufen, etwa in Energieversorgung, Industrie, Gebäudeautomation oder kritischer Infrastruktur. Weil explizit End-of-Life-Versionen genannt werden, ist die Lage organisatorisch oft schwieriger als technisch: Altgeräte stehen länger im Feld, Wartungsfenster sind knapp und eine saubere Ablösung dauert.
Technische Details
Beide Schwachstellen, CVE-2026-8065 und CVE-2026-8066, tragen den Basiswert CVSS 9.1 und damit die Einstufung kritisch. Der Vektor lautet CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H. Das bedeutet: Angriffe sind über das Netzwerk möglich, die Hürde ist niedrig, es werden keine Berechtigungen benötigt und kein Benutzer muss etwas anklicken oder bestätigen. Der Wert beschreibt die technische Schwere, nicht automatisch eine bereits beobachtete Ausnutzung in freier Wildbahn.
Bei CVE-2026-8065 liegt das Problem im Firmware-Update-Endpunkt. Gelingt der Angriff, kann ein Angreifer beliebige Firmware einspielen. Die NVD nennt als Folge vor allem Eingriffe in die Gerätefunktion sowie Auswirkungen auf Integrität und Verfügbarkeit.
CVE-2026-8066 sitzt in der Datei-Upload-Funktion. Durch Directory Traversal lassen sich Schreibpfade verlassen und Dateien an unerwarteten Stellen auf dem Gerät ablegen oder überschreiben. Welche Auswirkungen das im Einzelfall hat, hängt davon ab, welche Dateien erreichbar sind. Im ungünstigen Fall reicht das von Manipulation einzelner Daten bis zur Störung des vorgesehenen Gerätebetriebs.
Auffällig ist, dass bei beiden Einträgen die Vertraulichkeit im CVSS-Vektor nicht im Vordergrund steht, Integrität und Verfügbarkeit aber hoch gewichtet werden. Für OT- und ICS-Umgebungen ist genau das oft der kritischere Punkt: Nicht der Datenabfluss ist das Hauptproblem, sondern verändertes Verhalten oder Ausfall eines Feldgeräts.
Wer ist betroffen?
Genannt werden End-of-Life-Versionen der Hitachi Energy RTU500. Welche konkreten Versionsstände oder Modellvarianten betroffen sind, nennt die NVD in den beiden Einträgen nicht weiter ausdifferenziert.
Für Betreiber heißt das praktisch: Wer RTU500-Systeme im Bestand hat und nicht sicher sagen kann, dass diese noch im regulären Support sind, sollte zunächst von Betroffenheit ausgehen, bis das intern oder mit dem Hersteller beziehungsweise Integrator geklärt ist. Besonders relevant ist das für Umgebungen mit direkter oder indirekter Netz-Erreichbarkeit aus Office-Netzen, Wartungsnetzen oder über Fernzugänge von Dienstleistern.
Für klassische Office-IT ohne Bezug zu OT-Anlagen ist die Meldung meist nicht unmittelbar relevant. Für Betreiber industrieller Anlagen kann sie dagegen sehr wohl priorisiert werden, gerade wenn ältere Geräte aus Betriebsgründen lange im Einsatz bleiben.
Empfohlene Maßnahmen
Erstens: Ermitteln Sie umgehend, wo RTU500-Systeme noch betrieben werden und welche davon End-of-Life sind. Ohne belastbare Asset-Daten bleibt jede weitere Maßnahme Stückwerk.
Zweitens: Prüfen Sie die Erreichbarkeit dieser Geräte. Management-, Update- und Upload-Schnittstellen dürfen nicht aus unkontrollierten Netzen erreichbar sein. Trennen Sie Office-IT, Fernwartung und OT sauber, beschränken Sie Zugriffe per Firewall streng auf notwendige Quellnetze und deaktivieren Sie unnötige Pfade.
Drittens: Kontrollieren Sie bestehende Fernzugänge von Dienstleistern und Wartungspartnern. Wo möglich, setzen Sie Jump-Hosts, zeitlich begrenzte Freigaben und zusätzliche Freigabeprozesse ein. Direkte Erreichbarkeit einzelner Feldgeräte über weit geöffnete Regeln ist hier besonders riskant.
Viertens: Überwachen Sie Upload- und Änderungsereignisse auf den betroffenen Systemen und angrenzenden Segmenten. Wenn zentrale Protokollierung in der OT fehlt, sollte zumindest geprüft werden, welche Netzwerkspuren POST- oder Datei-Upload-Vorgänge hinterlassen.
Fünftens: Planen Sie die Ablösung von End-of-Life-Systemen mit hoher Priorität. Bei Altgeräten ist oft gerade nicht gesichert, dass noch Korrekturen bereitstehen. Ob ein Patch für die betroffenen End-of-Life-Versionen existiert, ist in den NVD-Einträgen nicht mitgeteilt.
Sechstens: Wenn ein Gerät ungewöhnliches Verhalten zeigt, Konfigurationen unerwartet geändert wurden oder Firmware-Stände nicht plausibel sind, behandeln Sie das als möglichen Sicherheitsvorfall. Dann sollten Sie die betroffenen Segmente isolieren, forensische Sicherung vorbereiten und Änderungen nicht vorschnell überschreiben.
Einschätzung von CyberSecurity-News.de
Die technische Bewertung ist eindeutig hoch: Zwei Schwachstellen mit identischem kritischem Profil, beide ohne Authentisierung und ohne Nutzerinteraktion ausnutzbar. In OT-Umgebungen ist das deutlich relevanter als in normaler Büro-IT, weil hier Integrität und Verfügbarkeit direkt den Anlagenbetrieb treffen können.
Die Informationslage bleibt jedoch unvollständig. Die NVD nennt den betroffenen Produktkontext und die Angriffswirkung, aber keine weitergehenden Details zu konkreten Versionen jenseits der Einordnung als End-of-Life und auch keine Angaben zu bereitstehenden Korrekturen. Das erschwert die operative Priorisierung in größeren Beständen.
Positiv ist, dass sich aus den bekannten Fakten trotzdem eine klare Handlungsrichtung ableiten lässt: nicht auf einen Patch warten, sondern zunächst Exposition reduzieren. Wer RTU500-Altgeräte noch mit breiter Netzsicht betreibt, hat hier ein strukturelles Risiko, das über diese beiden CVEs hinausgeht.
Fazit
CVE-2026-8065 und CVE-2026-8066 sind für Betreiber von Hitachi-Energy-RTU500-Altgeräten ein ernstes OT-Thema. Wenn solche Systeme noch laufen, sollten Sie ihre Erreichbarkeit sofort einschränken und die Ablösung von End-of-Life-Versionen vorziehen. Für die meisten Leser ohne RTU500-Bezug hat die Meldung dagegen kaum praktische Relevanz.
