Das dänische Unternehmen Universal Robots, Spezialist für kollaborative Industrieroboter (Cobots), hat eine kritische Sicherheitslücke in seiner Steuerungssoftware PolyScope 5 bestätigt. Wie die US-amerikanische Cybersecurity- und Infrastructure Security Agency (CISA) und Universal Robots in der vergangenen Woche mitteilten, handelt es sich um CVE-2026-8153, eine OS-Command-Injection-Anfälligkeit im Dashboard Server.
Die Schwachstelle mit der kritischen CVSS-Bewertung von 9,8 ermöglicht es unauthentifizierten Angreifern, denen der Netzwerkzugriff auf den Dashboard-Server-Port offensteht, beliebige Systembefehle auszuführen. Das Patch-Update PolyScope 5.25.1 behebt das Problem. Universal Robots erklärte, dass der Dashboard Server nutzerkontrollierte Eingaben ohne angemessene Filterung an das Betriebssystem weiterleitete.
Ob die Schwachstelle real ausnutzbar ist, hängt nach Angaben des Herstellers davon ab, ob der Dashboard Server aktiviert und sein Port von außen erreichbar ist. Das Unternehmen betont, dass UR-Roboter nicht für direkten Internetzugriff konzipiert sind und dies normalerweise durch Firewalls unterbunden wird.
Jedoch warnt Sicherheitsforscherin Vera Mens von Claroty, die die Lücke entdeckte, vor einer Unterschätzung des Risikos. Im Gegensatz zu anderen Industrierobotern verfügen Universal Robots-Cobots über ein Steuerungssystem mit Ethernet-Port, das für zentrale Verwaltungsfunktionen, Legacy-Protokolle wie MODBUS und EtherNet/IP oder Fernsteuerung genutzt wird.
“Obwohl diese Netzwerke normalerweise nicht öffentlich exponiert sind, sind sie oft unsegmentiert und ein erster Zugriff kann relativ leicht erlangt werden”, erläutert Mens. Dies ist besonders für deutsche Produktionsstandorte relevant, wo Netzwerksegmentierung häufig unzureichend implementiert ist.
Die größte Gefahr liegt in der möglichen Eskalation: Ein Angreifer könnte nicht nur einen einzelnen Cobot kompromittieren und damit Sicherheitsrisiken für Menschen schaffen, sondern unter ungünstigen Bedingungen ganze Roboterflotten und angeschlossene Peripherie übernehmen. Das Steuerungssystem ist im Grunde ein Linux-Computer, der via Ethernet und serielle Verbindungen mit weiteren Fertigungssystemen vernetzt ist.
Für deutsche Betriebe mit Universal Robots-Einsätzen wird das Einspielen der Patch PolyScope 5.25.1 dringend empfohlen. Zusätzlich sollten Netzwerksegmentierung und Zugriffskontrolle überprüft werden.