Die Warnung der US-Regierung beschreibt ein Vorgehen in mehreren Stufen. Zunächst identifizieren die Angreifer über öffentlich zugängliche Scandienste wie Censys und ZoomEye Siemens-S7-Steuerungen, die direkt aus dem Internet erreichbar oder nur unzureichend vom übrigen Netz getrennt sind. Danach werden KI-generierte Skripte ausgerollt, die als legitime Monitoring-Werkzeuge auftreten und nach nutzbaren Angriffswegen suchen.
Bemerkenswert ist die beschriebene Phase davor und danach: „Zum Aufbau von Fähigkeiten testen und verfeinern die Akteure ihre Angriffstechniken gegen bestimmte PLC-Modelle, um ihre Fähigkeit zur Kompromittierung dieser Steuerungen zu verbessern", so die Behörden. Und weiter: „Zur Vorbereitung operativer Effekte nutzen die Akteure lesenden Zugriff, um die Zielumgebungen zu verstehen – das ermöglicht die Vorbereitung und Positionierung für künftige Schreiboperationen, die Störungen oder andere betriebliche Auswirkungen verursachen sollen." Lesezugriff dient also als Aufklärung für spätere Eingriffe in den laufenden Prozess.
Als mögliche Konsequenzen schlecht abgesicherter Steuerungen führen die Behörden die Unterbrechung kritischer Industrieprozesse an, Sicherheitsvorfälle, Stillstand oder beschädigte Anlagen, den Abfluss sensibler Daten und Compliance-Verstöße. Weil industrielle Netze eng verzahnt sind, drohen zudem Folgewirkungen über die unmittelbar betroffene Anlage hinaus. Eine Zuordnung zu einer bestimmten Gruppe gibt es bislang nicht.
Unabhängig davon fällt die Schwachstellenbilanz dieser Woche breit aus. Bei den Netzwerk- und Infrastrukturherstellern stechen Cisco mit gleich neun Einträgen hervor (CVE-2026-20030, CVE-2026-20357, CVE-2026-20358, CVE-2026-20359, CVE-2026-20231, CVE-2026-20315, CVE-2026-20317, CVE-2026-20318, CVE-2026-20319) sowie Zyxel (CVE-2026-6837), der Calix-Router GS7 XGS GS5239XG (CVE-2026-75501) und die RDK-B-WebUI von RDK Central mit fünf Einträgen (CVE-2026-19505 bis CVE-2026-19509).
Auf Client-Seite betreffen zahlreiche Kennungen Mozilla Firefox und Thunderbird (CVE-2026-75874, CVE-2026-74934, CVE-2026-74935 sowie CVE-2026-74936 bis CVE-2026-74949) und Google Chrome (CVE-2026-76034, CVE-2026-76036, CVE-2026-76017). Hinzu kommen Apple (CVE-2026-65346) und Microsoft mit CVE-2026-69502, CVE-2026-69555, CVE-2026-65816, CVE-2026-65801, CVE-2026-65770, CVE-2026-69836 und CVE-2026-24301.
Im Entwickler- und Enterprise-Umfeld stehen GitLab (CVE-2026-19478), Atlassian Bamboo Data Center (CVE-2026-14682, CVE-2026-12143), Splunk (CVE-2026-76404, CVE-2026-76389, CVE-2026-76395, CVE-2026-76310, CVE-2026-76311, CVE-2026-76312), JFrog Artifactory (CVE-2026-69106, CVE-2026-65922), MLflow (CVE-2026-64849) und der Editor Cursor (CVE-2026-63093) auf der Liste. Im Bereich Identität und Zugriff betrifft es Authentik (CVE-2026-57580), Keycloak (CVE-2026-18963), Spring Security mit UnboundID-LDAP-Server (CVE-2026-59270, CVE-2026-47836, CVE-2026-47841), die PHP-Bibliotheken litesaml/lightsaml (CVE-2026-63182), BeyondTrust Endpoint Privilege Management für Windows (CVE-2026-40144, CVE-2026-40145) und N-Able Passportal (CVE-2026-15580).
Aus dem Web- und Hosting-Umfeld werden Zimbra (CVE-2026-73570), CyberPanel (CVE-2026-41473, CVE-2026-41472), Multicluster Engine für Kubernetes (CVE-2026-66794), die SCADA-Software FUXA (CVE-2026-25895) und mehrere WordPress-Erweiterungen genannt: Forminator Forms (CVE-2026-15748), User Profile Builder (CVE-2026-15826), Elementor Pro (CVE-2026-32475) und W3 Total Cache (CVE-2026-18051). Ergänzend ist der Hinweis GHSA-p9r8-2q67-fp86 zum AMMOS Instrument ToolkiT-GUI aufgeführt.