Danfoss, Copeland und Trane haben Softwareupdates veröffentlicht oder empfohlen, die Cybersicherheitslücken in Steuerungen für das Kälte- und HLK-Management beheben. Die von Claroty Team82 in separaten Forschungsprojekten identifizierten Schwachstellen betreffen die Plattformen Danfoss AK-SM 800A, Copeland XWEB Pro und Trane Tracer SC+ und umfassen die Umgehung der Authentifizierung, Befehlsinjektion, Denial-of-Service und die Offenlegung von Informationen.
Beim Danfoss AK-SM 800A, einem zentralen Systemmanager zur Koordination von Kältesteuerungen, identifizierte Team82 drei Schwachstellen in der integrierten webbasierten Managementoberfläche. Die Forscher untersuchten außerdem mithilfe von Shodan und Censys, in welchem Umfang die Plattform über das Internet erreichbar ist, und berichteten von zahlreichen öffentlich zugänglichen Managementoberflächen. Ein Censys-Scan zeigte 2.765 exponierte Geräte.
CVE-2025-41450 betrifft einen verborgenen Authentifizierungsmechanismus mit einem „Tagescode“. Team82 stellte fest, dass die Steuerung auf Basis ihres aktuellen Datums ein täglich wechselndes Authentifizierungspasswort generiert, und rekonstruierte den zur Erzeugung des Codes verwendeten Algorithmus. Nach Angaben der Forscher könnte die Nachbildung des Algorithmus einem Angreifer ermöglichen, das konfigurierte Administratorpasswort zu umgehen und eine authentifizierte Administratorsitzung zu erhalten.
Eine zweite Schwachstelle von Danfoss, CVE-2025-41451, betrifft die SMTP-E-Mail-Konfiguration. Team82 stellte fest, dass das Passwort für die E-Mail-Authentifizierung ohne Bereinigung in einen Shell-Befehl des Betriebssystems eingefügt wird. Dadurch entsteht eine Möglichkeit zur Befehlsinjektion, die zur Ausführung von Remote-Code führen kann. CVE-2025-41452 betrifft eine Funktion, mit der die Webanwendung die von der extern erreichbaren Nginx-Instanz verwendete Datei headers.conf ersetzen kann. Die Forscher erklärten, dass ein authentifizierter Angreifer Routing-Anweisungen einschleusen und einen Absturz des Prozesses sm_app auslösen könnte, was zu einem Denial-of-Service der Managementoberfläche führt. Danfoss behob die drei Schwachstellen mit der Firmware R4.3.1.
Team82 identifizierte separat 23 Schwachstellen in Copelands Plattform XWEB Pro für übergeordnete Steuerungen, darunter XWEB300D PRO und XWEB500D PRO. Von den 23 Schwachstellen stuften die Forscher 21 als schwerwiegend ein. XWEB Pro-Steuerungen ermöglichen das zentrale Management von Kälteanlagen und kommunizieren über ein serielles RS485-Netzwerk, typischerweise unter Verwendung von Modbus, mit Feldsteuerungen.
CVE-2026-25085 ermöglicht eine Umgehung der Authentifizierung und betrifft die Lua-basierte Middleware von XWEB Pro. Wenn ein nicht erkannter Authentifizierungsmodus übermittelt wird, kann die Authentifizierungsfunktion eine leere Tabelle zurückgeben, die Lua als „wahr“ auswertet. Da die Routing-Logik nur prüft, ob das zurückgegebene Objekt vorhanden ist, und nicht dessen Inhalt, stellte Team82 fest, dass ein Angreifer ohne Authentifizierung Zugriff auf geschützte administrative API-Endpunkte erlangen könnte.
Eine weitere Schwachstelle von Copeland, CVE-2026-21718, betrifft deterministische Administrator-Anmeldedaten, die anhand des aktuellen Datums, der MAC-Adresse des Geräts und fest kodierter kryptografischer Schlüssel in der Firmware generiert werden. Team82 erklärte, dass der Algorithmus nachgebildet werden kann, um die Administrator-Anmeldedaten abzuleiten. Die Forscher entdeckten außerdem 19 Schwachstellen für die Einschleusung von Betriebssystembefehlen in API- und CGI-Endpunkten. Dabei wurden von Benutzern kontrollierte Daten ohne ordnungsgemäße Bereinigung an Betriebssystembefehle übergeben. Eine erfolgreiche Ausnutzung kann zur Ausführung von Code mit Root-Rechten führen.
Um die physischen Folgen zu demonstrieren, verband Team82 eine XR60CX-Feldsteuerung über eine serielle Modbus-Verbindung mit einer XWEB Pro-Steuerung. Die Forscher demonstrierten die Manipulation der vom XR60CX angezeigten Temperatur zwischen -50°C und 110°C sowie die Steuerung von Kältekomponenten. In einem weiteren Test wurden die Kühlventilatoren deaktiviert, während weiterhin die tatsächlich vom Fühler gemessene Temperatur angezeigt wurde. Copeland behob die Schwachstellen mit der XWEB Pro-Firmwareversion 1.13.
Die dritte Untersuchung befasste sich mit der HLK-Steuerung Trane Tracer SC+. Team82 identifizierte fünf Schwachstellen, darunter CVE-2026-28252 im Trane Diagnostic Service, einer Fernzugriffsfunktion für autorisiertes Trane-Personal. Die Forscher stellten fest, dass der Challenge-Response-Authentifizierungsalgorithmus deterministisch ist und ohne Kenntnis eines Geheimnisses berechnet werden kann, wodurch potenziell Shell-Zugriff mit Root-Rechten möglich ist. Der SSH-Dienst ist standardmäßig deaktiviert. Diese Schwachstelle kann nur ausgenutzt werden, wenn der Dienst manuell aktiviert wurde.
CVE-2026-28253 ist eine vor der Authentifizierung ausnutzbare Denial-of-Service-Schwachstelle im Trane-Server, der HTTP- und BACnet-Verbindungen verarbeitet. Team82 stellte fest, dass der Server die Größe von HTTP-Headern nicht begrenzt und beim Empfang von Daten ohne Zeilenumbruch so lange weiteren Speicher zuweisen kann, bis die Zuweisung fehlschlägt. CVE-2026-28254 betrifft ohne Authentifizierung zugängliche API-Routen, über die Informationen wie Gerätedetails, verbundene Geräte, BACnet-Berichte und zwischengespeicherte GUI-Ressourcen offengelegt werden.
Team82 identifizierte außerdem CVE-2026-28255, die verschlüsselte, fest kodierte Anmeldedaten für Trane-Ferndienste betrifft, sowie CVE-2026-28256, die fest kodierte sicherheitsrelevante Konstanten betrifft. Letztere umfassen Verschlüsselungsschlüssel für Konfigurationsdaten sowie Schlüssel für Sicherungen und Firmwareupdates. Trane empfiehlt, Tracer SC+-Steuerungen auf die am 1. März 2026 veröffentlichte Version v6.3 oder eine neuere Version zu aktualisieren.
Claroty Team82 legte die Ergebnisse den jeweiligen Herstellern im Rahmen koordinierter Offenlegungsverfahren vor. Danfoss veröffentlichte die AK-SM 800A-Firmware R4.3.1, Copeland die XWEB Pro-Firmware 1.13, und Trane empfiehlt Tracer SC+ in Version v6.3 oder neuer, um die gemeldeten Probleme zu beheben.
