Die vier Schwachstellen tragen die Kennungen CVE-2026-8085, CVE-2026-8312, CVE-2026-8313 und CVE-2026-8314. Nach Angaben von CISA und Rockwell beruhen sie auf Speicherbeschädigungen, die aus einer unzureichenden Validierung von bereitgestellten Eingabedaten entstehen und in Schreibzugriffe außerhalb des zulässigen Bereichs münden können. Gelingt die Ausnutzung, kann ein Angreifer beliebigen Code im Kontext des aktuellen Prozesses ausführen.
Arena Simulation ist eine Software für diskrete Ereignissimulation. Unternehmen nutzen sie, um komplexe betriebliche Abläufe in einer virtuellen Umgebung zu modellieren, zu visualisieren und zu testen. So lassen sich Probleme erkennen und Prozessänderungen bewerten, bevor sie in Produktionsumgebungen umgesetzt werden.
Wie aus den Warnhinweisen hervorgeht, ist keine rein entfernte Ausnutzung ohne Mitwirkung eines Nutzers möglich. Ein Angreifer müsste einen Benutzer dazu verleiten, eine bösartige Datei zu öffnen. Michael Heinzl, der die Schwachstellen entdeckt hat, erklärte gegenüber SecurityWeek, dass die betroffenen Dateitypen — Arena-Experiment- und Modelldateien — im normalen Arbeitsablauf regelmäßig geöffnet würden. Eine manipulierte Datei würde einem gezielt durch Social Engineering angesprochenen Arena-Nutzer daher nicht zwangsläufig auffallen.
Heinzl betonte außerdem, dass die Folgen einer erfolgreichen Ausnutzung zunächst auf die Rechte des Arena-Prozesses beschränkt seien. Ob sich von dort aus empfindlichere Systeme erreichen ließen, hänge davon ab, wie eine Organisation Arena in ihrem Netzwerk bereitgestellt und segmentiert habe. Gerade deshalb seien die Lücken trotz des Umstands relevant, dass die Software nicht direkt physische Prozesse steuere.
Als weiteres Argument für die Bedeutung der Schwachstellen verwies der Forscher auf die weite Verbreitung von Arena. Er berief sich dabei auf Kundenmaterialien von Rockwell, in denen ein Einsatz bei führenden globalen Lieferkettenunternehmen, in Krankenhäusern in mehreren Ländern und bei Organisationen wie Rüstungsauftragnehmern beschrieben wird.
Rockwell hat die Probleme in Version 17.00.01 behoben. Nach Angaben in den von CISA und Rockwell veröffentlichten Hinweisen gibt es derzeit keine Belege für eine Ausnutzung unter realen Bedingungen.
Heinzl erklärte zudem, er habe insgesamt 17 eigenständige Schwachstellen in Arena identifiziert. Rockwell habe sich jedoch entschieden, sie nach betroffener Komponente zu gruppieren, sodass am Ende nur vier CVE-Nummern vergeben wurden. Der Forscher hat auf seiner persönlichen Website 17 einzelne Hinweise veröffentlicht.