In der Nacht des 11. Oktober 2026 wurden Fernsteuerungen für gewerbliche Kälteanlagen in französischen Supermärkten kompromittiert. Pen Test Partners datiert den Angriff auf diese Nacht; CERT-FR meldete am 12. Oktober zahlreiche kompromittierte Steuerungen und aktualisierte seine Warnung am 13. Oktober.

FRANCE 24 zeigt leere Frische- und Tiefkühlbereiche eines betroffenen Supermarkts und spricht mit der Cybersecurity-Expertin Marta Rybczynska.

Ars Technica zufolge lösten die Angreifer Abtauvorgänge aus. An manchen Anlagen stiegen die Temperaturen auf bis zu 50 °C, Lebensmittel verdarben und an einzelnen Standorten kam es zu Bränden.

Welche Steuerungen CERT-FR nennt

Die aktualisierte Warnung von CERT-FR nennt Copeland XWEB, Dixell XWEB, Danfoss AK-SC und Danfoss AK-SM als Gerätefamilien, die bei den Kompromittierungen eine Rolle spielten. Es handelt sich um Steuerungen gewerblicher Kühlanlagen, nicht um Haushaltskühlschränke. CERT-FR veröffentlichte die Warnung erstmals am 12. Oktober und aktualisierte sie am 13. Oktober 2026.

CISA beschreibt produktspezifische Sicherheitslücken in bestimmten Versionen. Bei Danfoss AK-SM 8xxA betrifft CVE-2025-41450 Versionen vor R4.2; CVE-2025-41451 und CVE-2025-41452 betreffen Versionen vor 4.3.1. Für Copeland XWEB 300D PRO, XWEB 500D PRO und XWEB 500B PRO nennt CISA Schwachstellen in Version 1.12.1 und früher; ein Update ist verfügbar. Die CISA-Hinweise ordnen diese Schwachstellen bestimmten Produktversionen zu, nicht dem konkreten Angriff. Copeland-Advisory

Wie Fernverwaltung mehrere Kühlmöbel beeinflussen kann

Cybersecurity-Expertin Marta Rybczynska erklärte FRANCE 24, dass Fernzugriff Betreibern die Verwaltung der Anlagen ohne Personal vor Ort ermöglicht. Pen Test Partners beschreibt, wie ein zentraler Anlagenmanager Einstellungen an mehrere Kühlstellenregler weitergeben und Alarme abschalten kann. In dieser technischen Rekonstruktion könnten Angreifer Abtauheizungen länger laufen lassen als vorgesehen. Anhaltende Heizleistung könnte Anlagen überhitzen; für einen Brand müsste laut Analyse zusätzlich eine elektrische Schwachstelle vorliegen. Pen Test Partners erläutert diesen möglichen Ablauf.

Was CERT-FR zur Wiederherstellung empfiehlt

Für kompromittierte Anlagen empfiehlt CERT-FR eine klare Reihenfolge:

  1. Die Steuerung vom öffentlichen Internet trennen.
  2. Das kompromittierte Gerät auf Werkseinstellungen zurücksetzen.
  3. Fernzugriff nur über ein gesichertes VPN oder ein geschütztes Netzwerk wiederherstellen.
  4. Das Gerät neu konfigurieren und die gesamte Konfiguration prüfen, einschließlich der Abtaupläne.
  5. Die Sicherheitsmaßnahmen des Herstellers anwenden, etwa Firmware aktualisieren und Standardpasswörter ändern.

Ein Werksreset allein genügt laut CERT-FR nicht, wenn ein veraltetes, verwundbares Gerät weiterhin öffentlich erreichbar ist.