Was ist passiert?
Die US-Cybersicherheitsbehörde CISA hat am 17. September eine Herstellerwarnung von Hitachi Energy zu mehreren Schwachstellen in der FACTS Control Platform (FCP) übernommen. Die ursprüngliche Herstellerwarnung stammt vom 28. Juli 2026; durch die aktuelle Veröffentlichung von CISA erhält das Thema nun zusätzliche Aufmerksamkeit im Bereich industrieller Steuerungs- und Energieinfrastruktur.
FACTS steht für „Flexible AC Transmission Systems“. Solche Systeme werden im Umfeld elektrischer Übertragungsnetze eingesetzt, unter anderem zur Steuerung und Stabilisierung elektrischer Netze.
Insgesamt beschreibt das Advisory fünf Schwachstellen: CVE-2024-4872, CVE-2024-3980, CVE-2024-3982, CVE-2024-7940 und CVE-2024-7941. Die beiden schwerwiegendsten erreichen nach der Bewertung des Herstellers einen CVSS-Wert von 9,9 und gelten damit als kritisch.
Bei CVE-2024-4872 kann ein bereits authentifizierter Angreifer manipulierte Abfragen verwenden, um Code beziehungsweise Daten in persistenten Datenstrukturen zu beeinflussen. CVE-2024-3980 betrifft die Verarbeitung von Datei- und Pfadangaben. Ein Angreifer mit gültigem Zugang könnte dadurch auf Dateien außerhalb der eigentlich vorgesehenen Bereiche zugreifen oder diese verändern.
Weitere Schwachstellen betreffen unter anderem Sitzungen, einen Netzwerkdienst ohne die erwartete Authentifizierung sowie eine mögliche Weiterleitung auf manipulierte Webseiten.
Wichtig für die Einordnung: Die Warnung beschreibt Schwachstellen und mögliche Angriffsszenarien, keinen bestätigten Angriff auf einen konkreten Energieversorger.
Wer ist betroffen?
Die Sicherheitslücken betreffen nicht pauschal alle Anlagen mit Hitachi-Energy-Technik.
Nach Angaben von Hitachi Energy und CISA sind Systeme der FACTS Control Platform nur betroffen, wenn die GWS-Komponente vorhanden ist. Installationen ohne diese Komponente sind von den beschriebenen Schwachstellen nicht betroffen. Systeme mit GWS, die ab dem Jahr 2020 installiert wurden, können laut Advisory betroffen sein.
Genannt werden unter anderem die FCP-Versionen:
3.4.0, 3.7.0, 3.8.0, 3.10.0, 3.12.0, 3.14.0, 3.15.0, 4.0.0, 4.0.1, 4.1.0 und 4.1.1.
Nicht jede der fünf Schwachstellen betrifft dabei zwangsläufig jede dieser Versionen. Betreiber sollten deshalb nicht allein anhand einer Versionsnummer entscheiden, sondern ihre konkrete Anlagenkonfiguration mit dem Hersteller-Advisory abgleichen.
Betroffen sein können unterschiedliche Anwendungen der FACTS-Technologie, darunter STATCOM-Systeme, Serienkompensationsanlagen und weitere Komponenten zur Netzregelung. Das macht die Warnung vor allem für Betreiber von Übertragungs- und Energieinfrastruktur relevant.
Warum ist das für Energie- und kommunale Infrastruktur relevant?
Industrielle Steuerungssysteme unterscheiden sich in einem wesentlichen Punkt von klassischer Büro-IT: Verfügbarkeit und Betriebssicherheit haben häufig oberste Priorität. Ein Softwareupdate oder eine Konfigurationsänderung kann deshalb nicht immer kurzfristig und ohne vorherige Prüfung installiert werden.
Genau daraus ergibt sich bei Schwachstellen in OT-Systemen – also der Operational Technology, der Technik zur Steuerung physischer Prozesse – eine besondere Herausforderung.
Ein Betreiber muss einerseits Sicherheitslücken zeitnah behandeln, andererseits muss jede Änderung kontrolliert erfolgen und darf den sicheren Anlagenbetrieb nicht gefährden.
CISA empfiehlt deshalb bei industriellen Systemen insbesondere eine geringe Netzwerkexposition. Steuerungssysteme sollten nicht direkt aus dem Internet erreichbar sein. OT-Netze sollen hinter Firewalls liegen und möglichst klar von klassischen Unternehmensnetzen getrennt werden. Für notwendige Fernzugriffe empfiehlt die Behörde abgesicherte und aktuell gehaltene VPN-Lösungen.
Diese Grundsätze sind auch unabhängig vom konkret betroffenen Produkt relevant. Energieversorgung, Fernwirktechnik, Gebäudeautomation, Wasserinfrastruktur oder kommunale technische Netze sollten so aufgebaut sein, dass eine einzelne Schwachstelle nicht automatisch den Zugang zu weiteren kritischen Komponenten ermöglicht.
Was sollte man daraus ableiten?
Für Betreiber beginnt die Reaktion nicht mit einem ungeprüften Softwareupdate, sondern mit einer sauberen Bestandsaufnahme.
Zunächst sollte geklärt werden, ob die betroffene FACTS Control Platform überhaupt eingesetzt wird und ob die GWS-Komponente vorhanden ist. Anschließend müssen Version, Netzwerkanbindung, erreichbare Dienste und vorhandene Fernzugänge dokumentiert werden.
Im aktuell veröffentlichten CISA-Advisory werden für die betroffenen FCP-Versionen vor allem Mitigationsmaßnahmen genannt; eine allgemeine korrigierte FCP-Version wird dort nicht ausgewiesen. Betreiber sollten deshalb die für ihre konkrete Anlage vorgesehenen Maßnahmen direkt mit Hitachi Energy beziehungsweise dem zuständigen Systemintegrator abstimmen.
Gerade bei kritischer Infrastruktur ist dabei eine weitere Erkenntnis wichtig: Nicht nur einzelne Geräte müssen geschützt werden. Ebenso entscheidend sind Netzsegmentierung, abgesicherte Administrationswege, ein kontrollierter Umgang mit privilegierten Konten und eine belastbare Überwachung der Verbindungen zwischen IT und OT.
Handlungsempfehlungen
- Betroffenheit konkret prüfen: Feststellen, ob eine Hitachi Energy FACTS Control Platform eingesetzt wird und ob die GWS-Komponente vorhanden ist.
- Version und Anlagenkonfiguration dokumentieren: Die installierte FCP-Version sowie angeschlossene Komponenten mit dem Hersteller-Advisory abgleichen.
- Keine direkte Internet-Erreichbarkeit zulassen: Steuerungs- und Managementsysteme sollten grundsätzlich nicht öffentlich aus dem Internet erreichbar sein.
- OT- und Büro-Netze trennen: Kommunikation zwischen Unternehmens-IT und technischen Netzen sollte nur über ausdrücklich notwendige und kontrollierte Verbindungen erfolgen.
- Fernzugriffe überprüfen: Notwendige Remote-Verbindungen sollten über aktuelle, abgesicherte Lösungen erfolgen und auf möglichst wenige berechtigte Personen beschränkt sein.
- Privilegierte Konten kontrollieren: Administrator- und Servicezugänge sollten überprüft, nicht benötigte Konten deaktiviert und Zugriffe nachvollziehbar protokolliert werden.
- Maßnahmen mit Hersteller oder Integrator abstimmen: Änderungen an produktiven Steuerungssystemen sollten nach Risikoanalyse und unter Berücksichtigung der Betriebssicherheit geplant werden.
Quellen
„Cybersecurity Advisory – Multiple Vulnerabilities in Hitachi Energy FACTS Control systems with GWS component“, Advisory 8DBD000229 – Hitachi Energy, 28. Juli 2026.
Hitachi Energy führt die fünf Schwachstellen als kritische Sicherheitswarnung für die FACTS Control Platform.
Hitachi Energy: Cybersecurity Alerts and Notifications
„Hitachi Energy FACTS Control Platform (FCP)“, ICSA-26-260-03 – CISA, veröffentlicht am 17. September 2026.
CISA übernimmt die Herstellerinformationen, beschreibt betroffene Systeme und Versionen sowie empfohlene Schutzmaßnahmen für industrielle Netze.
CISA: ICSA-26-260-03
„CVE-2024-4872“ – National Vulnerability Database, NIST.
Offizieller Datenbankeintrag zur kritischen Schwachstelle in der Abfrageverarbeitung.
NVD: CVE-2024-4872
„CVE-2024-3980“ – National Vulnerability Database, NIST.
Offizieller Datenbankeintrag zur Path-Traversal-Schwachstelle.
NVD: CVE-2024-3980