Fem amerikanske etater varsler om aktive angrep mot Siemens S7

NSA, CISA, FBI, det amerikanske energidepartementet og miljøvernbyrået EPA publiserte 19. august 2026 et felles varsel til eiere og driftere av industrielle styringssystemer. Varselet, som har koden AA26-231A, gjelder en aktiv trussel mot programmerbare styringsenheter i Siemens S7-serien, og beskrives av etatene som en hastesak. Kjernen i varselet er at S7-styringer som er nåbare fra internett har høy sannsynlighet for å bli angrepet, fordi kjente sårbarheter, offentlig tilgjengelige utnyttelsesbiblioteker og KI-assisterte utviklingsverktøy til sammen senker terskelen for angriperen. Varselet omfatter flere sektorer, deriblant kjemisk industri, næringsbygg, kritisk produksjon, forsvarsindustri, energi, mat og landbruk, og vann og avløp. Etatene understreker at dette er en pågående trussel, ikke en teoretisk risiko.

Hva som skjer teknisk

En programmerbar styringsenhet er datamaskinen som utfører selve styringen i et anlegg, altså den som slår pumper av og på, åpner ventiler og holder en prosess innenfor grenseverdier. S7-serien fra Siemens er blant de mest utbredte i industrien. Slike enheter er konstruert for driftssikkerhet over mange år, og protokollene de bruker stammer fra en tid da nettet rundt dem var lukket. Autentisering er derfor svak eller fraværende i mange oppsett, og en enhet som er nåbar direkte fra internett kan ofte styres av den som finner den.

Det nye i varselet er ikke sårbarhetene i seg selv, men kombinasjonen etatene peker på. Utnyttelseskode for kjente svakheter ligger offentlig tilgjengelig i biblioteker og verktøykasser, slik at angriperen ikke trenger å utvikle noe selv. KI-assisterte utviklingsverktøy senker terskelen ytterligere, fordi de gjør det raskere å sette sammen og tilpasse kode for et konkret mål. Det er den samme utviklingen som er beskrevet i angrepskampanjer det siste året, der agentbaserte oppsett har søkt opp mål og hentet ferdig utnyttelseskode fra åpne kilder. Konsekvensen er at tiden fra en enhet blir eksponert til den blir funnet og forsøkt utnyttet, blir kortere. Etatene ber derfor om at beskyttende tiltak settes i verk raskt hos alle som drifter denne typen utstyr.

Hva det betyr for deg som drifter S7-styringer

Sektorlisten treffer norsk industri og kommunal teknisk drift bredt, og S7-styringer går igjen i anlegg vi møter hos norske virksomheter. Det som skiller denne saken fra en vanlig sårbarhetssak, er at konsekvensen er fysisk. En kompromittert styring handler ikke om at data kommer på avveie, men om at en prosess kan stanses, endres eller kjøres utenfor sine grenser. For et næringsbygg kan det bety ventilasjon og varme, for et vannverk dosering, for en produksjonslinje stans i produksjonen.

Vår vurdering er at det avgjørende spørsmålet er kortere enn selve varselet. Er noen av deres S7-styringer nåbare fra internett, direkte eller gjennom et leverandørmodem. Svært mange virksomheter kan ikke svare på dette uten å undersøke, fordi utstyret ble satt opp av en leverandør og aldri kom inn i aktivalisten. NIS2 omfatter flere av de nevnte sektorene. Om en virksomhet er omfattet, og om den er vesentlig eller viktig, avgjøres av type og størrelse. I Norge er NIS2 ennå ikke gjennomført. For en virksomhet som er omfattet av NIS2, gjelder kravene i artikkel 21 til risikohåndtering, tilgangsstyring og hendelseshåndtering også for automasjonsdelen av virksomheten, ikke bare for kontor-IT.

Berigo anbefaler

• Undersøk fra utsiden om S7-styringer er nåbare fra internett, og gå gjennom brannmurregler og leverandørforbindelser samtidig.
• Ta styringene av internett, og legg fjerntilgang bak VPN eller portner med sterk autentisering.
• Før alle styringsenheter inn i aktivalisten med modell og fastvareversjon, slik at et nytt varsel kan besvares på timer i stedet for uker.
• Behandle varselet som en hastesak i endringshåndteringen, og prioriter kjente sårbarheter i utstyret sammen med leverandøren.
• Logg og overvåk trafikk mot styringsnettet, og øv på manuell drift dersom styringen må kobles fra.