wbroom

Was CISA AA26-231A 2026 ist: KI-Skripte gegen Siemens-S7-SPS

Fünf US-Behörden schrieben KI-gestützte ICS-Exploit-Skripte als aktive Bedrohung für Siemens S7, nicht als Übung. Die Akte folgt AA26-231A.

Am 19. August 2026 schrieben fünf US-Bundesbehörden ein Industrie-Advisory als „kein theoretisches Risiko“. Geräte sind Siemens-S7-SPS. Der neue Satz: Exploit-Skripte können mit KI-Hilfe entstehen und als Betriebsüberwachung getarnt werden.

Der Code ist AA26-231A von NSA, CISA, FBI, DOE und EPA. Der Text sagt, Akteure nutzen KI-erzeugte Exploit-Skripte plus die offene Bibliothek snap7. Es folgt nur, was auf der CISA-Seite prüfbar ist.

19. August: AA26-231A Internet-offene S7 scannen KI-Skripte + snap7 lesen und schreiben

Was AA26-231A sagt

Die Behörden warnen, die Cyberbedrohung für Siemens S7 sei eine aktive Bedrohung. Akteure klären US-Installationen auf und nutzen Scandienste (genannt Censys, ZoomEye), um offene, veraltete oder schwach geschützte SPS zu finden. Schwach geschützte Geräte können Prozesse stören, Sicherheitsvorfälle, Stillstand oder Geräteschäden, Datenverlust, Compliance-Probleme und Ketteneffekte auslösen. Die Einleitung sagt zugleich, SPS-Angriffe seien breiter als Siemens.

5 Behörden
NSA, CISA, FBI, DOE, EPA
5 Baureihen
S7-200 bis S7-1500, inkl. F
102 /tcp
S7comm-Port am Rand sperren

Der Weg im Technikteil

  1. 1

    Zuerst scannen, dann gegen bekannte Schwächen skripten

    Akteure finden offene oder schwach segmentierte S7. Das Advisory sagt, sie erzeugen mit KI-Hilfe Skripte aus öffentlichen Informationen für Erstzugang, Anmeldedaten, Denial of Service und anderes.

  2. 2

    Legitime Bibliothek plus als Monitor getarnte Skripte

    snap7.dll / python-snap7 plus KI-Skripte werden zu Werkzeugen, die OT-Monitoring imitieren, und erhalten Lese-/Schreibzugriff auf Speicher, Konfiguration und Ablaufsprache über S7comm.

  3. 3

    Diese Phase liest sich wie Aufklärung und Vorpositionierung

    Die Behörden sehen anhaltende Aufklärung, Tests gegen bestimmte CPU-Modelle, Lesen zum Verstehen der Anlage und Vorbereitung späterer Schreibzugriffe.

01

KI senkt die Hürde, ist keine neue Zero-Day-Familie

Der Text: KI-erzeugte Exploit-Skripte verkürzen Können und Zeit für funktionierende ICS-Werkzeuge. Es geht um schnellere Nutzung öffentlicher Infos, bekannter Lücken und Exposition.

02

Die Branchenliste ist „am häufigsten getroffen“

Critical Manufacturing, Energie, Wasser/Abwasser, Chemie, Ernährung, Gewerbe. S7 in der Defense Industrial Base könnten ebenfalls Ziele sein. Keine Werksnamen.

03

Erkennungshinweise sind konkret

Ungewöhnliches S7comm, Verbindungen von Nicht-Engineering-Stationen, Schreibzugriffe außerhalb von Änderungsfenstern, sequenzielle Scans auf Port 102, snap7.dll außerhalb freigegebener Rechner.

Behauptung prüfbare Quelle Lesart
Aktive Bedrohung, keine Übung AA26-231A-Kurzfassung Behördentext; keine Zuschreibung
KI-Skripte + snap7 Technikteil Legitime Bibliothek für Zugriff und Tarnung
Port 102 zuerst vom Internet trennen Maßnahmenliste Inventar, Patches, Segmentierung zuerst

Der Schluss: bekannte Schwachstellen, verfügbare Bibliotheken und KI-gestützte Entwicklung schaffen ein Szenario hoher Wahrscheinlichkeit gegen schlecht geschützte SPS. Die Behörden wollen das als dringend behandeln.

# AA26-231A (CISA, 2026-08-19)
Authors: NSA, CISA, FBI, DOE, EPA
Targets: Siemens S7-200/300/400/1200/1500
Tools: AI-assisted scripts + snap7.dll / python-snap7
Proto: S7comm on TCP 102
Scan: Censys, ZoomEye
Note: activity broader than Siemens; all PLC owners in scope

Grenzen

Das ist nicht die Laboreval-im-offenen-Netz-Geschichte
AA26-231A beschreibt Aufklärung gegen echte Industrieinstallationen. Nicht mit Frontier-Eval-Vorfällen mischen.
„Könnte führen zu“ heißt nicht „Anlage steht schon“
Störungen und Sicherheitsvorfälle stehen unter potenziellen Folgen. Für die jetzige Phase betont der Text Aufklärung und Vorpositionierung.
Siemens ist eine Teilmenge
Die Einleitung verlangt Maßnahmen von allen SPS-Betreibern. Typen, Port 102 und snap7 konkretisieren S7.

Fragen, die sich lohnen

Nennt das Advisory ein Land?

Nein. Der Text nennt keinen Akteur. The Register schrieb ebenfalls, es gebe keine Zuordnung zu einem bestimmten Staat oder einer Gruppe.

Was tut KI in dieser Akte?

Akteure erzeugen mit KI-Hilfe Exploit-Skripte aus öffentlichen Siemens-S7-Informationen und iterieren schnell. Kein Modellname.

Was sollen Betreiber zuerst tun?

Alle S7 inventarisieren, kritische Patches, SPS vom Internet trennen, Zugriff härten, unautorisierte Aktivität überwachen. Am Rand TCP 102 vollständig sperren.

Meeting starten