Siemens hat zwei Sicherheitshinweise zu Teamcenter herausgegeben. Bei der Brotli-Lücke (CVE-2026-111497) arbeitet Siemens noch an den Patches, bis dahin helfen Sofortmaßnahmen. Für die Login-Lücke (CVE-2026-58113) stehen Updates bereit. Dieser Beitrag zeigt, wen es betrifft und was Sie jetzt tun sollten.
Die beiden Lücken auf einen Blick
| Brotli-Lücke | Login-Lücke | |
| Kennung | CVE-2026-111497 | CVE-2026-58113 |
| Art | Speicherfehler beim Entpacken von Brotli-Daten | Reflected Cross-Site-Scripting im Login-Ablauf |
| Mögliche Folge | Schadcode-Ausführung aus der Ferne | Lesen von Daten und Aktionen in der Nutzersitzung |
| Betroffen | V2412, V2506, V2512, V2606 (sowie ältere Versionen) | V2412, V2506, V2512, V2606 unterhalb bestimmter Stände |
| Stand | Patches in Arbeit | Updates verfügbar |
| Handlung | Sofortmaßnahmen abstimmen | Update einplanen |
1. Die Brotli-Lücke (CVE-2026-111497)
Was ist Brotli? Brotli ist ein von Google entwickeltes Verfahren, das Daten für die Übertragung verkleinert, ähnlich wie ZIP, aber speziell für Webinhalte. Beim Empfang werden die Daten wieder entpackt. Genau dort steckt der Fehler.
Was ist passiert? Im Brotli-Decoder kann ein Angreifer mit präparierten Daten Speicher außerhalb der vorgesehenen Grenzen beschreiben. Das kann Schadcode-Ausführung aus der Ferne ermöglichen. Node.js hat den Fehler am 21.10.2026 behoben und stuft ihn als „high“ ein, er wurde auch als „Node2Shell“ bekannt. Betroffen sind viele Produkte, die Brotli verwenden, darunter .NET. Die US-Behörde CISA hat die Lücke am 27.10.2026 in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen, öffentliche Beispielcodes sind verfügbar.
Was bedeutet das für Teamcenter? Laut Siemens ist Teamcenter betroffen, weil es sowohl Node.js- als auch .NET-Laufzeitumgebungen mitliefert.
| Version | Stand laut Siemens |
| V2412, V2506, V2512, V2606 | Patches in Arbeit, Zielstände: 2412.0015, 2506.0012, 2512.2611, 2606.2611 (noch ohne Termin) |
| V2612 | Korrektur bereits enthalten |
| Versionen außerhalb des Supports | nur Sofortmaßnahmen |
Sofortmaßnahmen, die Siemens nennt:
- Brotli-Dekodierung deaktivieren
- Eingehende Brotli-komprimierte Anfragen und Antworten am Reverse Proxy, API-Gateway oder über Edge-/WAF-Regeln blockieren
Siemens weist zudem darauf hin, dass sich die Node.js- und .NET-Laufzeitbibliotheken möglicherweise austauschen lassen. Seit dem 03.11.2026 stellt Siemens dafür eine detaillierte Anleitung (Teamcenter_NodeJS_Patching_Guide) im Support Center bereit.
Was gilt für ältere Versionen? Für Versionen außerhalb des Supports nennt Siemens derzeit nur die Sofortmaßnahmen. Nutzt Ihre Teamcenter-Version einen ungepatchten Node.js-Stand (zum Beispiel 16, 18 oder 20), lassen sich die Anleitungen zum Upgrade auf Node.js 22, 24 oder 26 nicht anwenden. Bei erweiterter Wartung (Extended Maintenance) ist laut Siemens ein Problem Report (PR) einzureichen. Für eine umfassende Lösung empfiehlt Siemens das Upgrade auf die aktuelle Teamcenter-Version.
Und wenn Teamcenter nicht aus dem Internet erreichbar ist? Prüfen Sie die Maßnahmen trotzdem. Ein Angriff kann auch aus dem Unternehmensnetz erfolgen. Welche Maßnahme für Sie passt, hängt von Ihrer Systemumgebung ab. Stimmen Sie sie bitte mit Ihrer IT ab.
2. Die Login-Lücke (CVE-2026-58113)
In der Login-Weiterleitung von Teamcenter werden Eingaben nicht korrekt kodiert. Ein Angreifer ohne Anmeldung kann dadurch über einen präparierten Link Schadcode in die Browser-Sitzung eines angemeldeten Nutzers einschleusen (Reflected Cross-Site-Scripting). Gemeldet wurde die Lücke von der Sicherheitsfirma Bishop Fox, Siemens hat sie im Advisory SSA-157465 beschrieben, CISA hat es am 15.09.2026 als ICSA-26-258-07 veröffentlicht.
Laut Advisory kann ein Angreifer in der Sitzung Daten lesen oder Aktionen im Namen des Nutzers ausführen, jeweils im Rahmen von dessen Rechten. Siemens bewertet die Lücke mit CVSS 6.1 (Medium, CVSS 3.1) bzw. 8.5 (High, CVSS 4.0). Die Updates sind seit September verfügbar:
| Version | Betroffen bei Stand | Update auf |
| V2412 | unterhalb V2412.0013 | V2412.0013 oder neuer |
| V2506 | unterhalb V2506.0010 | V2506.0010 oder neuer |
| V2512 | unterhalb V2512.2607 | V2512.2607 oder neuer |
| V2606 | unterhalb V2606.2607 | V2606.2607 oder neuer |
Was Sie jetzt tun sollten
- Bestandsaufnahme: Welche Teamcenter-Versionen und welche Node.js-Stände laufen in Produktion, Test und Schulung?
- Brotli: Sofortmaßnahmen mit Ihrer IT abstimmen, bis Siemens die Patches freigibt.
- Login-Lücke: Update auf den passenden Stand einplanen.
- Updates bündeln: Sobald die Brotli-Patches erscheinen, lassen sich Wartungsfenster und Tests zusammenlegen.
- Anwender sensibilisieren: Keine Teamcenter-Links aus unerwarteten E-Mails oder Nachrichten öffnen.
So unterstützen wir Sie
Als Siemens-Partner für Teamcenter begleiten wir Unternehmen im Mittelstand bei Bestandsaufnahme, Risikobewertung und Updates. Für eine schnelle Einschätzung eignet sich unser Quick Support (1–4 Stunden). Mehr zu unserem Angebot finden Sie unter Teamcenter-Beratung und PLM-Beratung.
Sie sind unsicher, wo Ihre Umgebung steht? Schreiben Sie uns an kontakt@drwe.de oder rufen Sie uns an: +49 (0) 7031 4103090 (Mo–Do 9–17 Uhr, Fr 9–15 Uhr).
Häufige Fragen
Ein Speicherfehler beim Entpacken Brotli-komprimierter Daten. Er betrifft viele Produkte, auch Teamcenter, weil es Node.js- und .NET-Laufzeiten mitliefert, und kann Schadcode-Ausführung aus der Ferne ermöglichen.
Noch nicht. Siemens arbeitet an Patches für V2412, V2506, V2512 und V2606 und nennt Zielstände, aber noch keinen Termin. V2612 enthält die Korrektur bereits. Bis dahin helfen die Sofortmaßnahmen von Siemens.
Brotli-Dekodierung deaktivieren oder Brotli-komprimierte Anfragen und Antworten am Reverse Proxy, API-Gateway oder über Edge-/WAF-Regeln blockieren. Eine detaillierte Siemens-Anleitung zu den Node.js-Bibliotheken steht seit dem 03.11.2026 im Support Center.
Für Versionen außerhalb des Supports nennt Siemens derzeit nur die Sofortmaßnahmen. Bei erweiterter Wartung ist ein Problem Report einzureichen. Für eine umfassende Lösung empfiehlt Siemens das Upgrade auf die aktuelle Version.
Siemens empfiehlt das Update auf die korrigierten Stände. Da sie seit September verfügbar sind, sollten Sie sie zeitnah einplanen.
Im Siemens Support Center (Artikel PL8869204 zur Brotli-Lücke) und im CISA-Advisory ICSA-26-258-07 zur Login-Lücke.
Quellen
- Siemens Support Center: PL8869204, Updated Statement zu CVE-2026-111497 (Stand 04.11.2026)
- CISA: ICSA-26-258-07 Siemens Teamcenter
- Siemens Support Center: Teamcenter Downloads
- Siemens ProductCERT: SSA-157465
- Help Net Security: Brotli bug reaches far beyond Node.js
- BleepingComputer: CISA warns of hackers now exploiting critical Node2Shell flaw