Aktuelle Scans zeigen ein beunruhigendes Muster: Rockwell PLCs online sind weiterhin im öffentlichen Netz auffindbar. In einem Bericht von Forescout wird beschrieben, dass in mehreren US-Bereichen, die mit Cyberangriffen auf Wasser- und Abwasserinfrastrukturen in Verbindung gebracht werden, internetseitig erreichbare Steuerungen gefunden wurden.
Wichtig: Die gemeldete Anzahl bezieht sich auf erreichbare Steuerungen, nicht automatisch auf bestätigte Opfer. Dennoch macht die Studie deutlich, wie dringend Betreiber und Dienstleister jetzt Handlungsbedarf haben.
Was Forescout über die exponierten Rockwell PLCs berichtet
Am 3. August zählte Forescout weltweit 4.407 exponierte Rockwell-Controller, darunter 2.844 in den USA. In den Städten, die von Angriffen gegen US-Wasserversorger betroffen waren, wurden 22 internet-facing Rockwell Automation PLCs identifiziert.
Darüber hinaus fällt auf, dass 19 dieser 22 Steuerungen über dasselbe Mobilfunknetz (als Netzbetreiber/Carrier beschrieben) angebunden waren. Das deutet nicht zwingend auf eine einzelne „Schuldquelle“ hin, zeigt aber, dass Angreifer möglicherweise gleiche Betriebs- und Zugriffsmuster ausnutzen.
Forescout konnte allerdings keine eindeutige Kompromittierung der gefundenen Geräte bestätigen. Stattdessen beschreibt die Analyse, dass die beobachteten Effekte auch ohne klassischen Schwachstellen-Exploit entstehen können.
Warum der Angriff auch ohne klassische Lücke funktionieren kann
Die Studie erklärt, dass öffentlich beschriebene Auswirkungen unter Umständen erreichbar sind, ohne dass eine spezifische Schwachstelle ausgenutzt werden muss. Hintergrund: Angreifer könnten IP-Adressen ändern und Passwörter setzen, sofern die Steuerungen bereits erreichbar sind.
Wenn Operatoren dadurch die Übersicht verlieren und in einzelnen Fällen Kontrolle über angeschlossene Anlagen einbüßen, entsteht ein praktisches Sicherheitsproblem, das unabhängig davon existiert, ob eine „CVE-Lücke“ tatsächlich ausgenutzt wurde.
Offene Fragen bleiben dabei: Weder die behördlichen Hinweise noch die Forescout-Auswertung liefern nachvollziehbare Details dazu, wie Angreifer die Systeme fanden, auswählten oder zuerst Zugriff erhielten.
Bezug zu Angriffen auf Wasser- und Abwasseranlagen
Seit dem 27. Juli meldeten Wasser- und Abwasserbetreiber in mindestens sieben Bundesstaaten Vorfälle. Das geht aus einer öffentlichen Mitteilung hervor, die von FBI und EPA im Kontext einer Serviceankündigung veröffentlicht wurde.
Interessant ist die unterschiedliche Darstellung: In einer Einordnung, die am 6. August veröffentlicht wurde, wird erwähnt, dass Forescouts Beitrag die Bestätigung von mindestens 12 Bundesstaaten nennt, während die FBI-Seite von sieben spricht. Eine abschließende Zuordnung der Kampagne durch die Behörden liegt bis zur Auswertung nicht vor.
Für die Verteidigung ist das letztlich zweitrangig: Wenn Steuerungen im Internet erreichbar sind, steigt die Wahrscheinlichkeit, dass Angreifer sie zumindest identifizieren und unter Umständen ungewollt beeinflussen können.
Die größte Stellschraube: PLCs aus dem öffentlichen Internet nehmen
Die Forscher betonen als klare Maßnahme, betroffene Controller vom öffentlichen Internet zu trennen. Das ist in der Praxis oft die schnellste und wirksamste „Stop-Leak“-Strategie, weil der Angriff dann nicht mehr über eine offene, ungeschützte Erreichbarkeit starten kann.
Gerade wenn bestimmte OT-Protokolle öffentlich exponiert sind, kann schon die Erreichbarkeit selbst reichen, um Informationen zu gewinnen oder Einstellungen zu verändern.
EtherNet/IP auf Port 44818 als Risikoquelle
Forescout beschreibt, dass das Freilegen von EtherNet/IP auf dem Port 44818 eine unauthentifizierte Angriffsfläche schafft. Je nach Konfiguration kann ein Angreifer dann entweder einen Controller identifizieren oder unter Umständen sogar Einstellungen schreiben.
Das bedeutet: Selbst wenn Betreiber glauben, „ohne Exploit“ sei nichts passiert, kann bereits die Kombination aus Offengehaltenem Zugang und bestimmten Geräteeinstellungen zu unerwünschten Ergebnissen führen.
Welche Mobilfunknetze besonders oft auftauchen
In den USA fanden die Analysen laut Forescout mehr als 70% der exponierten Controller auf großen Mobilfunknetzwerken. Dazu passen Empfehlungen der Behörden: starke Authentifizierung für Mobilfunkmodems, konsequente Updates und ein sauberes Logging.
Zusätzlich wird empfohlen, Remote Access zu isolieren – zum Beispiel über ein privates APN, ein VPN oder eine vergleichbare Architektur. Ziel ist, die direkte Erreichbarkeit aus dem öffentlichen Raum zu vermeiden.
Vergleich mit Censys: ähnliche Größenordnung, unterschiedliche Messbedingungen
Auch ein Abgleich mit einer Censys-Auswertung zeigt die Größenordnung. Ein Snapshot vom 30. Juli ermittelte 4.148 exponierte Rockwell/Allen-Bradley EtherNet/IP-Hosts. Dabei entfielen 59% auf Verizon Business, AT&T Mobility und T-Mobile USA.
Die Zahlen liegen zwar in einer ähnlichen Größenordnung wie die Forescout-Resultate, sind aber nicht 1:1 vergleichbar. Unterschiedliche Plattformen, Abfragewege und Datenstichtage beeinflussen das Ergebnis.
Forescout zeigt zudem eine historische Entwicklung: Im Juni 2026 gab es einen Tiefstand von 4.169 exponierten Controllern, das entspricht einem Rückgang von 47% gegenüber 7.814 im März 2020. Im August 3-Scan stieg die Zahl auf 4.407.
Gerätefamilien und bekannte technische Schwachstelle
Die Ergebnisse zeigen eine starke Konzentration auf bestimmte Produktlinien. MicroLogix 1400 machte etwa 50% der Treffer aus, MicroLogix 1100 rund 8%. Die Behörden nannten diese Familien ebenfalls.
Forescout führt außerdem an, dass 19 der 22 Controller in betroffenen Städten Firmware trugen, die für CVE-2017-16740 als anfällig gilt (Rockwell CVSS: 8,6).
Worum es bei CVE-2017-16740 geht
Die genannte Schwachstelle betrifft einen Modbus TCP Buffer Overflow in MicroLogix 1400 Series B und C, sofern Firmware 21.002 und älter eingesetzt wird. Rockwell soll das Problem in Revision 21.003 behoben haben.
Entscheidend ist: Damit eine Ausnutzung überhaupt möglich wäre, muss Modbus TCP aktiviert sein. In der Forescout-Erfassung konnte das Team für diese Hosts nicht verifizieren, dass Modbus TCP tatsächlich eingeschaltet war.
Auch das ist relevant für die Risikobetrachtung: Updates reduzieren Schwachstellen, aber die Forschenden betonen, dass Firmware-Fixes das öffentliche Freilegen von PLCs nicht „akzeptabel“ machen.
Passwort-Manipulation und Recovery-Pfade
Zusätzlich zu den Expositionsrisiken beschreibt die Analyse, dass Angreifer durch Zugriff auf erreichbare Systeme auch Passwörter setzen könnten. Für Betreiber ist deshalb ein geplanter Wiederherstellungsprozess wichtig.
Rockwell hat am 30. April 2022 den MicroLogix 1100 eingestellt. In einer Mitteilung (SD1790) wird dokumentiert, wie Betreiber, die durch ein von Angreifern gesetztes Passwort ausgesperrt sind, MicroLogix 1400 oder 1100 auf Werkseinstellungen zurücksetzen und anschließend eine bekannte, geprüfte Projektdatei neu laden können.
Die Mitteilung enthält laut Bericht keine CVE, weil sie als Recovery-Anleitung gilt und nicht als Offenlegung einer neuen Schwachstelle.
Ein wichtiger praktischer Punkt: Für diesen Recovery-Weg ist eine aktuelle Offline-Kopie der Steuerungslogik erforderlich. Ohne geeignete Sicherung steigen die Risiken in der Wiederanlauf-Phase.
Hinweis auf mögliche Nachahmung über ähnliche Netzkonfigurationen
Das FBI erklärte außerdem, dass mindestens ein Opfer modifizierte PLC-Projektdateien nachweisen konnte. Dabei soll es aufgefallen sein, dass die Ladder-Logik zwischen mehreren Standorten abwich.
Die Behörden warnen zudem, dass ähnliche Netzwerksetups bei Kunden dazu führen können, dass Angriffe bei weiteren Organisationen mit vergleichbaren Konfigurationen wiederholbar sind. Das unterstreicht: Nicht nur einzelne Geräte sind betroffen, sondern auch wiederkehrende Betriebs- und Integrationsmuster.
Was Betreiber jetzt konkret tun können
Auch wenn nicht jeder Treffer automatisch ein echtes Opfer bedeutet, ist die Richtung klar: Angriffsfläche reduzieren und Fernzugriff sauber gestalten.
- PLC-Controller vom öffentlichen Internet entfernen und Zugriffe nur über gesicherte Netze ermöglichen.
- EtherNet/IP-Exponierung auf relevanten Ports vermeiden und Dienste nur innerhalb strikt kontrollierter Segmente betreiben.
- Starke Authentifizierung für Modems und Remote-Zugänge sicherstellen.
- Updates und Logging umsetzen, um Änderungen nachvollziehbar zu machen.
- Remote Access isolieren (z. B. privates APN, VPN oder ähnliche Architektur).
- Für den Ernstfall: Offline-Sicherungen und getestete Recovery-Schritte bereithalten.
So verringern Organisationen die Wahrscheinlichkeit, dass ein Angreifer allein durch Erreichbarkeit oder Fehlkonfiguration Wirkung erzielt.
Fazit
Die Meldung macht deutlich, dass Rockwell PLCs online weiterhin ein reales Risiko darstellen können – selbst dann, wenn sich nicht in jedem Fall eine bestätigte Kompromittierung nachweisen lässt. Entscheidend ist jetzt, die Geräte aus dem öffentlichen Netz zu holen, den Remote-Zugriff sicher zu isolieren und Recovery-Prozesse so vorzubereiten, dass Betreiber im Ernstfall handlungsfähig bleiben.
Quelle: https://thehackernews.com/2026/08/over-4400-rockwell-plcs-exposed-online.html
