Beckhoff TcRouter.sys: Exponierte IOCTL ermöglicht lokalen Zugriff auf physischen Speicher
Zusammenfassung
Beckhoff TcRouter.sys, ein Windows-Kerneltreiber der TwinCAT-3-Automatisierungslaufzeit, stellt IOCTL-Funktionen mit unzureichender Zugriffskontrolle bereit. Ein lokaler Angreifer mit niedrigen Berechtigungen kann auf beliebigen physischen Speicher zugreifen oder dessen Mapping festlegen, was zu einer vollständigen Kompromittierung des betroffenen Geräts führen kann. Für die Ausnutzung ist lokaler Zugriff nötig; die Schwachstelle ist nicht aus der Ferne ausnutzbar.
Betroffen
- TcRouter.sys für Windows x64 und x86: 3.1.0.2364 sowie Versionen ab 1.0.0 bis vor 3.1.0.2365
- TwinCAT.XAR.Base.KM: 3.16.29 sowie Versionen ab 1.0.0 bis vor 3.18.1
- Die Versionsbereiche unterscheiden sich je nach Quelle; mit dem CERT@VDE-Advisory abgleichen.
Behoben in
- TcRouter.sys: 3.1.0.2365 oder neuer (laut Sekundärquellen; beim Hersteller bestätigen)
- TwinCAT.XAR.Base.KM: 3.18.1 oder neuer (laut Sekundärquellen; beim Hersteller bestätigen)
Umgehung
Unbekannt. In den geprüften Quellen ist kein Workaround des Herstellers dokumentiert.
- Generische, nicht vom Hersteller dokumentierte Gegenmassnahmen: lokale Anmeldung auf vertrauenswürdige Administratoren beschränken, nicht benötigte lokale Konten entfernen und bekannte verwundbare Treiber über die Windows-Treiberblockliste oder Application Control blockieren.
Ausnutzung
- Öffentlicher Exploit: keiner bekannt (VulDB: kein Exploit verfügbar).
- In freier Wildbahn: nicht als ausgenutzt bekannt.
- TcRouter.sys erscheint im LOLDrivers-Katalog, dieser Eintrag betrifft jedoch einen verwandten TwinCAT-Treiber und ist kein Beleg für diese CVE.
Unsere Empfehlung
- Prüfen, ob TwinCAT auf Windows-Industrie-PCs, Maschinensteuerungen und Engineering-Workstations installiert ist, und die Versionen von TcRouter.sys und TwinCAT.XAR.Base.KM ermitteln.
- Auf TcRouter.sys 3.1.0.2365 oder neuer und TwinCAT.XAR.Base.KM 3.18.1 oder neuer aktualisieren, sobald dies im Beckhoff-Advisory bestätigt ist.
- Bis zur Behebung das lokale Anmelden und Laden von Treibern auf vertrauenswürdige Administratoren beschränken.
- Betroffene Systeme auf ungewöhnliche Treiberladevorgänge und Rechteerweiterungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CERT@VDE advisory VDE-2026-087 www.certvde.com
- CVE Record CVE-2026-18768 www.cve.org
- VulDB CVE-2026-18768 vuldb.com
- OffSeq listing CVE-2026-18768 radar.offseq.com
- LOLDrivers entry for TcRouter.sys www.loldrivers.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 10:22.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.