Dreieinhalb Stunden Arbeit, vier neue Lücken. Ein autonomer KI-Agent namens Cipher hat in der Steuerungssoftware EPICS Base vier bis dahin unbekannte Schwachstellen gefunden. Das berichtet The Register. Die US-Behörde CISA hat am 27. Oktober 2026 eine Warnung veröffentlicht (ICSA-26-300-01).
WAS IST EPICS?
EPICS steht für Experimental Physics and Industrial Control System. Es ist ein Open-Source-Werkzeugkasten, mit dem man Leitsysteme (SCADA) baut und aus der Ferne steuert. Entwickelt wurde es ursprünglich am Los Alamos National Laboratory und am Argonne National Laboratory. Laut Bericht läuft es in rund 90 wissenschaftlichen, universitären und industriellen Projekten, darunter Argonnes Advanced Photon Source und das Steuerungssystem des Fusionsreaktors ITER.
DIE VIER LÜCKEN
- CVE-2026-114595 (CVSS 9,8, kritisch): Integer-Überlauf mit kontrolliertem Schreiben außerhalb des Heap-Speichers, möglicherweise Codeausführung aus der Ferne.
- CVE-2026-114596 (CVSS 8,2): falsche Prüfung der Nachrichtenlänge, Schreibzugriff außerhalb des Speichers, Absturz des Steuerungsprozesses.
- CVE-2026-114597 (CVSS 7,5): unzureichende Grenzprüfung, Lesezugriffe außerhalb des Speichers, Abstürze.
- CVE-2026-114598 (CVSS 7,5): Typverwechslung, Denial of Service, möglicherweise Einblick in angrenzenden Speicher.
DER KI-HACKER
Cipher stammt von der Firma Causal Security. Der Agent fand alle vier Fehler selbstständig und bestätigte die Exploits. Dafür brauchte er 3 Stunden und 49 Minuten. Die erste Untersuchung lief ohne menschliches Eingreifen, später gab es eine Anweisung, tiefere Exploit-Tests in einer geschützten Umgebung zu erlauben.
Mitgründer Shubham Raj sagte laut Bericht, Cipher habe zuvor kritische Angriffspfade in Stromnetz-Systemen in Nordamerika und Europa aufgedeckt. Das habe zu einer CISA-Warnung am 8. Oktober geführt.
WIE GEFÄHRLICH IST DAS?
Ein Angreifer muss die verwundbaren EPICS-Dienste im Steuerungsnetz der Anlage erreichen können. Das ist am ehesten dort denkbar, wo Netze schlecht getrennt sind oder ein anderes System Zugriff auf das EPICS-Netz hat. Raj sagt, für den Angriff brauche es kein tiefes Wissen über Betriebstechnik. Um physische Prozesse zu manipulieren, schon.
Von Angriffen in freier Wildbahn ist im Bericht nicht die Rede.
WAS BETREIBER TUN SOLLTEN
- Auf EPICS Base 7.0.11 aktualisieren. Diese Version enthält die Fixes.
- Netz segmentieren: EPICS-Dienste gehören nicht ins allgemeine Büronetz und nicht ins Internet.
- Zugriffe prüfen: Welche Systeme dürfen das Steuerungsnetz erreichen?
FAZIT: Das Tempo ist das eigentliche Signal
Vier Lücken in unter vier Stunden zeigen, wie schnell KI-Werkzeuge Software prüfen können, auch Software, die nie für das offene Netz gedacht war. Für Verteidiger heißt das: Patches schneller einspielen und Netze konsequent trennen. Denn dasselbe Tempo steht grundsätzlich auch Angreifern zur Verfügung.