Forscher von Forescout Research – Vedere Labs haben mit Anthropic Claude einen vorhandenen Exploit von einer WAGO-SPS auf ein anderes Modell übertragen. Auf einer WAGO 750-831 mit Firmware V01.04.16 gelang es ihnen, vor der Anmeldung eigenen ARM-Code auszuführen. Ausgangspunkt war ein bereits funktionierender Exploit für die WAGO 750-852.
Das Experiment betrifft CVE-2021-31886, einen stackbasierten Pufferüberlauf im FTP-Server des Nucleus RTOS. Die Schwachstelle ist über TCP-Port 21 vor der Authentifizierung erreichbar und hat einen von Siemens vergebenen CVSS-Wert von 9,8. Für eine Reihe betroffener WAGO-Steuerungen auf Basis von Nucleus V1 stehen laut CERT@VDE keine Updates bereit.
Die Demonstration ist dennoch kein Beleg für eine autonome KI, die selbstständig Industrieanlagen kompromittiert. Claude benötigte einen vorhandenen Exploit, die Firmware des Zielgeräts, direkten Zugriff auf eine reale SPS, Werkzeuge zur Reverse-Engineering-Analyse und die fortlaufende Steuerung durch erfahrene Forscher. Die entscheidende RCE-Entwicklungsphase dauerte 8 Stunden und 32 Minuten und verursachte API-Kosten von 535,74 US-Dollar.
Eine kleine Abweichung verhinderte zunächst den Angriff
Die Forscher stellten Claude Code eine Terminalumgebung, das Reverse-Engineering-Werkzeug Ghidra und die physische WAGO 750-831 zur Verfügung. Die Arbeit begann mit Claude Sonnet 4.6 und wurde nach stockenden RCE-Versuchen mit Claude Opus 4.6 fortgesetzt.
Vom vorhandenen Exploit zur Codeausführung
Die Grafik zeigt die im Experiment dokumentierte Portierung des FTP-Exploits auf die WAGO 750-831 und den späteren Hardwareausfall.
Der Exploit ließ sich nicht unverändert übernehmen. Bei der 750-831 überschrieb die normale FTP-Verarbeitung 256 Byte des kontrollierten Puffers mit Nullen. Der eingeschleuste Shellcode verschwand dadurch, bevor der Prozessor ihn ausführen konnte.
Claude ersetzte die beim Exploit für die 750-852 verwendete Abfolge aus USER und QUIT durch USER und CWD. Zusätzlich wurde der abschließende Zeilenumbruch ausgelassen. Dadurch lief der relevante Verarbeitungspfad nicht wie üblich zu Ende, und der Payload blieb lange genug im Speicher. Nach erfolgreicher Codeausführung erzeugte das Modell innerhalb von zwölf Minuten zwei funktionale Payloads: einen für ICMP-Echoanfragen und einen für ein UDP-Paket mit der Zeichenfolge „PWNED“.
Die Ausführung erfolgte im Kontext des Ethernet-Empfangs-Callbacks. Demonstriert wurde damit das Versenden von Netzwerkpaketen, nicht die vollständige Übernahme eines industriellen Prozesses. Es existiert ein funktionierender Forschungs-Exploit; aus den vorliegenden Angaben geht aber weder eine öffentliche Veröffentlichung des Codes noch eine bestätigte aktive Ausnutzung von CVE-2021-31886 gegen WAGO-Steuerungen hervor.
Betroffen sind mehrere ältere WAGO-Produktreihen
Das CERT@VDE führt folgende Geräte als anfällig für die Schwachstellen des betreffenden Advisories, darunter CVE-2021-31886: 750-829 bis einschließlich FW16, 750-831/000-00x bis einschließlich FW14, 750-852 bis einschließlich FW16, 750-880/0xx-xxx bis einschließlich FW16, 750-881 bis einschließlich FW16, 750-882 bis einschließlich FW16, 750-885/0xx-xxx bis einschließlich FW16, 750-889 bis einschließlich FW16, 750-331 bis einschließlich FW16 sowie 750-352/xxx-xxx bis einschließlich FW16.
Diese Feldbuskoppler und SPS basieren auf Nucleus V1 RTOS. Dafür sind laut Advisory derzeit keine Aktualisierungen verfügbar. Bei den Modellen 750-882 und 750-885/0xx-xxx kommt eine weitere Unsicherheit hinzu: Sie fehlen sowohl im Abschnitt zu Gegenmaßnahmen als auch in der Sanierungstabelle des Advisories, sodass ihr konkreter Fix-Status dort offenbleibt.
Auch auf Ebene des Betriebssystems ist die Patch-Lage fragmentiert. Siemens plant für Nucleus NET nach eigenen Angaben keine Behebung. In Nucleus ReadyStart V3 ist CVE-2021-31886 dagegen ab Version V2013.08.1 korrigiert. Diese Angabe hilft Betreibern der genannten WAGO-Geräte jedoch nicht unmittelbar, solange deren Produktlinie auf der älteren Nucleus-V1-Basis verbleibt.
Wo kein Patch existiert, entscheidet die Erreichbarkeit
CERT@VDE empfiehlt, FTP auf Port 21 zu deaktivieren oder zu blockieren, die Netze zu segmentieren und den Verkehr auf Anomalien zu überwachen. Praktisch beginnt die Prüfung deshalb nicht mit der Frage, ob eine KI den Exploit portieren kann. Entscheidend ist, ob eines der betroffenen Modelle tatsächlich im Bestand steht und ob sein FTP-Dienst aus unsicheren oder unnötig großen Netzsegmenten erreichbar ist.
Betreiber sollten Modell und Firmwarestand inventarisieren, die Notwendigkeit des FTP-Dienstes prüfen und die erreichbaren Kommunikationsbeziehungen auf das betrieblich erforderliche Minimum reduzieren. Wo ein Update technisch nicht angeboten wird, werden solche kompensierenden Kontrollen vom Übergangsschutz zur dauerhaften Sicherheitsarchitektur. Mittelfristig entsteht zudem ein Austauschproblem: Ein Gerät ohne Patch-Pfad lässt sich nicht allein durch regelmäßige Updateprozesse absichern.
Der riskanteste KI-Fehler traf die reale Hardware
Das Experiment dokumentiert nicht nur die Leistungsfähigkeit des Modells. Bei einem späteren Versuch, aus dem Exploit ein Command-and-Control-Implantat zu entwickeln, schrieb die KI in einen dem Flash-Speicher zugeordneten Bereich. Die SPS wurde dadurch dauerhaft unbrauchbar. Forescout räumt selbst ein, dass ein menschlicher Forscher die ursprüngliche Portierung möglicherweise schneller, günstiger und ohne Zerstörung des Controllers geschafft hätte.
Während der ersten Sitzung markierte Claude außerdem einen möglichen Fehler in der FTP-Befehlsextraktion, der von CVE-2021-31886 unabhängig sein könnte. Eine manuelle Prüfung deutete laut Forescout auf eine bislang unbekannte Schwachstelle hin. Die Untersuchung läuft separat; eine CVE-Nummer gibt es dafür nicht.
Behördenwarnungen sind kein Nachweis für Angriffe auf WAGO
Die Untersuchung steht im Kontext einer gemeinsamen Warnung von NSA, CISA, FBI, US-Energieministerium und EPA vom 19. August. Darin geht es um eine aktive Bedrohung für internetexponierte Siemens-S7-Steuerungen durch KI-generierte Exploitation-Skripte. Diese Warnung belegt jedoch keine Angriffe auf die hier untersuchten WAGO-Modelle.
Auch gemeldete Vorfälle bei US-Wasserversorgern sind getrennt zu betrachten: Dort wurden internetseitig erreichbare Rockwell-Automation-MicroLogix-Steuerungen manipuliert, ohne dass dafür ein Software-Exploit notwendig war. Gerade dieser Unterschied ist operativ wichtig. KI kann die Anpassung vorhandener Exploits erleichtern, aber exponierte Dienste, alte Firmware und fehlende Segmentierung schaffen die nutzbare Angriffsfläche.
Der konkrete Fortschritt besteht somit nicht in einem autonomen Angreifer, sondern in der Übertragbarkeit von Spezialwissen auf ähnliche Ziele. Für ungepatchte OT-Systeme verschiebt das die Risikorechnung: Eine ältere Schwachstelle wird nicht harmloser, nur weil bisher kein öffentlicher Exploit für jedes einzelne Gerätemodell auffindbar war. Wenn der Hersteller keinen Patch-Pfad mehr bietet, müssen Betreiber die Erreichbarkeit des verwundbaren Dienstes selbst beseitigen.
Jens analysiert seit Jahren digitale Märkte, Preisbewegungen und Plattform-Strategien. Als Betreiber mehrerer datengetriebener Systeme wertet er täglich große Mengen an Produkt- und Trenddaten aus. Sein Fokus liegt auf Einordnung statt Hype: Was bedeutet eine Entwicklung wirklich für Nutzer, Preise und Märkte?
