TcRouter.sys: Unzureichende IOCTL-Zugriffskontrolle erlaubt Zugriff auf I/O-Ports
Zusammenfassung
Der Beckhoff-Treiber TcRouter.sys, ein Windows-Treiber der Automatisierungssoftware TwinCAT, stellt IOCTL-Funktionsaufrufe mit unzureichender Zugriffskontrolle bereit. Ein lokaler Angreifer oder Prozess mit niedrigen Berechtigungen kann auf I/O-Ports zugreifen und so das betroffene Gerät vollständig kompromittieren. Der CNA stuft die Lücke mit CVSS 4.0 8.5 (Hoch) ein. Ein Angriffsweg aus dem Netzwerk wird nicht beschrieben.
Betroffen
- TcRouter.sys für Windows x64 und x86: 3.1.0.2364 sowie 1.0.0 bis vor 3.1.0.2365
- TwinCAT.XAR.Base.KM: 3.16.29 sowie 1.0.0 bis vor 3.18.1
Behoben in
- TcRouter.sys: 3.1.0.2365 oder neuer
- TwinCAT.XAR.Base.KM: 3.18.1 oder neuer
Umgehung
Unbekannt. Das Herstellerdokument ist nicht verifiziert; laut Sekundärquellen sind über den Fix hinaus keine weiteren Massnahmen nötig.
- Bis zum Patch: lokale Anmeldungen auf TwinCAT-Systemen einschränken und festlegen, wer dort Code ausführen darf.
Ausnutzung
- Laut OffSeq nicht als ausgenutzt bekannt.
- Kein öffentlicher Proof of Concept gefunden.
- Kein Eintrag im CISA-KEV-Katalog gefunden.
Unsere Empfehlung
- Alle Windows-PCs und Industrie-PCs mit TwinCAT erfassen und die Versionen von TcRouter.sys und TwinCAT.XAR.Base.KM prüfen.
- Auf TcRouter.sys 3.1.0.2365 oder neuer und TwinCAT.XAR.Base.KM 3.18.1 oder neuer aktualisieren, im nächsten Wartungsfenster und nach Test der TwinCAT-Kompatibilität.
- Bis dahin lokale Anmeldungen einschränken und nicht benötigte Benutzerzugriffe auf diesen Systemen entfernen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CERT@VDE advisory VDE-2026-087 www.certvde.com
- CVE Record CVE-2026-18767 www.cve.org
- VulDB entry 435705 vuldb.com
- OffSeq threat radar CVE-2026-18767 radar.offseq.com
- Threatint CVE-2026-18767 cve.threatint.com
- LOLDrivers entry for TcRouter.sys www.loldrivers.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 10:21.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.