Siemens heeft op 13 oktober een grote patchronde doorgevoerd voor tientallen producten, van de Desigo-gebouwautomatisering tot de SIMATIC S7-1500-controllers die in fabrieken en industriële processen draaien. Het NCSC verzamelde de fouten in advisory NCSC-2026-0415, die verwijst naar twaalf aparte Siemens-beveiligingsadvisories met in totaal 33 CVE-nummers.
Risico’s lopen uiteen van spionage tot sabotage
Succesvol misbruik van de kwetsbaarheden kan volgens het NCSC leiden tot denial-of-service, manipulatie van gegevens, het omzeilen van beveiligingsmaatregelen, het uitvoeren van code met root- of adminrechten, toegang tot systeem- of andere gevoelige gegevens, en het verhogen van rechten. De onderliggende fouten zijn uiteenlopend van aard en omvatten onder meer path traversal, SQL-injectie, cross-site scripting, heap-bufferoverflows en het gebruik van een standaard cryptografische sleutel.
De hoogst genoteerde score is voor CVE-2025-71316, met een CVSS 4.0-score van 9,2. Ook CVE-2026-11822 en CVE-2026-11824 scoren met 8,5 hoog. Verder vallen CVE-2025-6965 (7,2), CVE-2026-10207 en CVE-2025-70873 (beide 7,5) en CVE-2026-84854 (7,0) op. Van een flink deel van de 33 kwetsbaarheden had Siemens op het moment van deze advisory nog geen CVSS-score gepubliceerd.
De getroffen productlijst is lang en gevarieerd: naast de SIMATIC S7-1500-familie, inclusief de ET 200SP- en SIPLUS-varianten, gaat het om Desigo-gebouwautomatisering, RUGGEDCOM CROSSBOW voor spoorweginfrastructuur, Industrial Edge Device Kits, SIMATIC WinCC, PSS(R)SINCAL en de .NET Client Library voor de SIMATIC S7 Webserver API. Wie met Siemens-apparatuur werkt, raadpleegt best de volledige productlijst in de advisory, want niet elk model binnen een productlijn is per se kwetsbaar.
Het NCSC benadrukt dat een aanvaller voor misbruik van deze kwetsbaarheden toegang nodig heeft tot de productieomgeving zelf. Dat is precies waarom het advies is om zo’n omgeving nooit publiek toegankelijk te maken: industriële netwerken horen gescheiden te zijn van kantoornetwerken en zeker niet rechtstreeks aan het internet te hangen.
Siemens heeft voor het merendeel van de kwetsbaarheden al beveiligingsupdates uitgebracht. Voor de fouten waarvoor nog geen patch beschikbaar is, publiceerde het bedrijf mitigerende maatregelen om het risico te beperken; die staan in de twaalf onderliggende Siemens-advisories.
Voor Nederlandse MKB-bedrijven met een productieomgeving is dit een moment om het netwerkontwerp te checken, niet alleen de patchstatus. Breng in kaart welke Siemens-apparatuur in gebruik is, vergelijk dat met de productlijst in de advisory en plan updates in tijdens een onderhoudsvenster. Minstens zo belangrijk: houd OT-netwerken gescheiden van kantoor-IT, zodat een kwetsbaarheid in een PLC of SCADA-systeem niet zomaar vanaf een kantoor-laptop te bereiken is.
Bron: NCSC-NL Advisories
Wat betekent dit voor jouw bedrijf?
Heeft u Siemens-apparatuur zoals SIMATIC S7-1500, Desigo of RUGGEDCOM CROSSBOW in de productieomgeving? Controleer de volledige productlijst in NCSC-2026-0415, installeer de beschikbare updates per onderliggende Siemens-advisory en zorg dat OT- en IT-netwerken gescheiden blijven, zeker voor systemen waarvoor nog geen patch bestaat.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.