De ICS Patch Tuesday brengt opnieuw een brede set updates en advisories voor industriële omgevingen. Siemens publiceerde 17 nieuwe meldingen, terwijl Schneider Electric en Rockwell Automation elk met hun eigen veiligheidsissues kwamen. Daarnaast voegden CISA en CERT@VDE nieuwe ICS-informatie toe, waardoor organisaties hun asset- en patchplanning slim moeten herijken.
In dit overzicht lees je welke productlijnen geraakt zijn, welke risico’s centraal staan en waar je extra op moet letten bij het doorvoeren van maatregelen.
Siemens: 17 advisories met patches én tijdelijke mitigaties
Siemens introduceerde 17 nieuwe ICS security advisories tijdens deze Patch Tuesday. Voor een deel van de kwetsbaarheden zijn direct patches beschikbaar, terwijl Siemens voor andere issues eerst mitigaties publiceert tot permanente fixes gereed zijn.
Een opvallend onderdeel gaat over bepaalde Simatic S7-1500 CPU’s. Daarnaast werden ook problemen aangestipt in Industrial Edge componenten en de Ruggedcom Crossbow Station Access Controller (SAC). Voor Simatic CPU’s geldt dat er meer dan 400 flaws betrekking hebben op het GNU/Linux-subsystem van het betreffende platform.
Van critical tot medium: waar zitten de belangrijkste risico’s?
Siemens richtte zich op meerdere productfamilies met verschillende ernstniveaus:
- Critical / hoge ernst: o.a. Ruggedcom Crossbow, Simatic IPC, PSS(R)SINCAL, de .NET Client Library voor de Simatic S7 Webserver API, Industrial Edge App Publisher, Apogee, Desigo, Talon, Ruggedcom APE1808 en verschillende Simatic WinCC-producten.
- Medium: onder meer Sentron 3NA COM Fuse en Capital Embedded AR Classic.
Verder wees Siemens klanten op een documentatie-ambiguïteit die invloed kan hebben op Simatic S7 PLC’s en gerelateerde producten. Dat klinkt minder spannend dan een technische exploit, maar het kan wel leiden tot verkeerde interpretaties bij configuratie of hardening.
Schneider Electric: twee high-severity advisories met uiteenlopende impact
Schneider Electric publiceerde twee nieuwe advisories, beide met een high-severity focus. Het gaat om kwetsbaarheden in twee verschillende domeinen: interactie met gebruikers via webcontent en het beheer van firmware aan de device-kant.
Pro-face en Harmony: risico op device takeover via een gemanipuleerde webpagina
De eerste advisory raakt Pro-face STW6000 en Harmony STW6. Hierbij kan een aanvaller mogelijk de controle over een apparaat overnemen door een gebruiker te misleiden om een malafide webpagina te bezoeken.
Dit type scenario vraagt meestal om meer dan alleen patching: ook awareness, webfiltering en het beperken van browser- of webtoegang vanaf operationele werkstations spelen dan mee.
Sage RTU’s: privileged gebruiker kan malicious firmware installeren
De tweede advisory is gericht op Sage RTU’s. In dat geval kan een geprivilegieerde gebruiker misbruikt worden om kwaadwillende firmware te installeren op een device. Voor OT-teams betekent dit dat je niet alleen naar kwetsbaarheidsscanning kijkt, maar ook naar autorisaties, accounts en operationele scheiding binnen de beheerketen.
Rockwell Automation: ArmorBlock kwetsbaarheden, inclusief een critical overnamepad
Rockwell Automation publiceerde in deze ICS Patch Tuesday één advisory met twee kwetsbaarheden in 1732E ArmorBlock.
Critical: password aanpassen zonder authenticatie
De ene issue is geclassificeerd als critical. Een ongeauthenticeerde aanvaller kan hiermee de webserver password wijzigen. In de praktijk kan dat leiden tot een admin account takeover, omdat de aanvaller vervolgens toegang kan krijgen tot het beheer.
Daarnaast: denial-of-service
De tweede kwetsbaarheid is een DoS-issue (Denial of Service). Of die impact vooral availability raakt of ook secundaire gevolgen heeft voor beheer- en monitoringprocessen hangt af van je specifieke inzet van het component binnen het OT-landschap.
CISA en CERT@VDE: extra meldingen voor camera’s en het Ignition-platform
Naast de vendor-advisories brachten CISA en CERT@VDE eigen ICS-meldingen uit.
- CISA publiceerde twee nieuwe ICS advisories: één over kwetsbaarheden in Swann SWIFI-SE2KIC camera’s, waarbij video-informatie kan worden blootgesteld, en één over een privilege escalation-kwetsbaarheid in Inductive Automation’s Ignition.
- CERT@VDE publiceerde één advisory over information disclosure in Bender’s Customer&Partner platform.
Omdat deze instanties regelmatig updates publiceren, is het verstandig om hun kanalen structureel te volgen en te koppelen aan je interne prioritering.
Wat je nu praktisch moet doen
Een ICS Patch Tuesday-ronde is niet alleen een lijstje met CVE’s. Het is een moment om je OT-veiligheid te vertalen naar concrete acties. Neem daarom in je aanpak de volgende stappen mee:
- Inventariseer geraakt netwerkverkeer en productinstellingen: vooral systemen met Simatic S7-1500 varianten, Industrial Edge, Ruggedcom Crossbow en ArmorBlock.
- Prioriteer op exploitpad: gevallen met (mogelijk) ongeauthenticeerde wijzigingen of accountovername verdienen doorgaans een hogere urgentie dan alleen informatielekken.
- Werk mitigaties uit tot een werkend plan voor situaties waarin patches later volgen. Zorg dat security maatregelen niet blijven hangen bij “volgen” of “afwachten”.
- Versterk identity- en beheerlogica: zeker wanneer advisories verwijzen naar privileged misuse, admin takeover of webserver-wijzigingen.
Wil je dit vertalen naar een meer overkoepelende aanpak met identity en toegangsbeleid? Lees dan ook Zero Trust en identity security: strategieën in 2026.
Extra aandacht: eerdere Patch Tuesday’s en mogelijke aanwijzingen uit logs
In de bredere reeks rondom deze Patch Tuesday wordt ook teruggekoppeld naar eerdere advisories. Zo noemde de publicatie naast de vendor-updates ook aanvullende meldingen van o.a. Moxa, Honeywell, Hitachi Energy, Johnson Controls en ABB.
Voor ABB dynovaPRO kwam daarbij een detail naar voren: ABB stelt geen bewijs te hebben van misbruik in het wild, maar beschrijft dat interne loganalyse 26 password change events bij 9 klanten vond. Dat kan passen bij testactiviteit of verkenning. Het is dus verstandig om niet alleen te patchen, maar ook logpatronen te vergelijken met normaal gedrag.
Als je inzicht wilt in hoe securitydrills en verificatieprocessen helpen om misbruik sneller te herkennen, sluit dit inhoudelijk aan op Deepfake readiness drill: test uw verificatieprocessen.
Conclusie: begin met prioriteiten, niet met paniek
De ICS Patch Tuesday laat zien dat industriële leveranciers tegelijk zowel technische kwetsbaarheden als beheer- en gebruikersrisico’s aanpakken. Siemens levert een groot pakket aan advisories, Schneider Electric richt zich op high-severity issues bij user interaction en firmware-installatie, en Rockwell Automation benoemt een critical pad richting webserver password wijziging in ArmorBlock.
Pak het slim aan: inventariseer, prioriteer op het daadwerkelijke aanvalspad, voer patches of mitigaties uit volgens je OT-constraints en monitor daarna actief op afwijkend gedrag. Daarmee maak je de stap van “update ontvangen” naar “risico verlaagd”.
