Beckhoff TcRouter.sys: Lokaler Zugriff auf physischen Speicher über exponierte IOCTLs
Zusammenfassung
TcRouter.sys ist ein Windows-Kerneltreiber der Automatisierungssoftware TwinCAT von Beckhoff. Exponierte IOCTL-Funktionen verfügen über eine unzureichende Zugriffskontrolle, sodass ein lokaler Angreifer mit niedrigen Berechtigungen beliebige Inhalte des physischen Speichers verschieben kann. Laut Hersteller führt dies zu einer vollständigen Kompromittierung der betroffenen Geräte. Der Angriff setzt einen lokalen Zugang voraus, etwa durch Phishing, Schadsoftware oder ein kompromittiertes Benutzerkonto, und ist nicht direkt aus dem Internet erreichbar.
Betroffen
- TcRouter.sys für Windows auf x64 und x86: 1.0.0 bis vor 3.1.0.2365 - TwinCAT.XAR.Base.KM: 3.16.29 und Versionen vor 3.18.1 (gemäss CVE-Eintrag)
Behoben in
- TcRouter.sys für Windows auf x64 und x86: 3.1.0.2365 - TwinCAT.XAR.Base.KM: 3.18.1 (beide Angaben im Advisory von Beckhoff/CERT@VDE bestätigen)
Umgehung
In den geprüften Quellen ist kein Workaround dokumentiert. Weitere Massnahmen im Advisory des Herstellers prüfen.
Ausnutzung
- Nicht bekannt, dass die Schwachstelle ausgenutzt wird. - Kein öffentlicher Proof of Concept gefunden. - VulDB führt den Exploit-Status als nicht definiert.
Unsere Empfehlung
- Alle Windows-Systeme mit TwinCAT oder TcRouter.sys inventarisieren, inklusive des Zweigs TwinCAT.XAR.Base.KM. - Installierte Versionen nach Prüfung des Advisory von Beckhoff/CERT@VDE mit den korrigierten Versionen vergleichen. - Das Update auf jedem betroffenen System gemäss Beckhoff-Vorgaben planen. - Bis zum Patch den lokalen Login auf diesen Systemen einschränken, EDR aktiv lassen und TwinCAT-Maschinen möglichst von allgemeinen Büronetzwerken fernhalten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CERT@VDE advisory VDE-2026-087 www.certvde.com
- CVE Record CVE-2026-18769 www.cve.org
- VulDB entry 435706 vuldb.com
- OffSeq radar entry CVE-2026-18769 radar.offseq.com
- Threatint CVE-2026-18769 cve.threatint.com
- Beckhoff security information www.beckhoff.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 10:22.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.