High WID-SEC-2026-1474 3 CVEs

Siemens SIMATIC S7 PLCs Web Server: Mehrere Schwachstellen ermöglichen Cross-Site Scripting

Published May 11, 2026 · Updated May 11, 2026 · de-DE

Vendor: Siemens Product: SIMATIC S7

Summary

Ein entfernter, authentisierter Angreifer kann mehrere Schwachstellen in Siemens SIMATIC S7 PLCs Web Server ausnutzen, um einen Cross-Site Scripting Angriff durchzuführen.

Product

Die SIMATIC S7 ist eine Serie von SPS (Speicherprogrammierbare Steuerungen) für Automatisierungsanwendungen.

Vulnerabilities 3

Critical 9.1

CVE-2026-25786

Affected devices do not properly validate and sanitize PLC/station name rendered on the "communication" parameters page…

Siemens SIMATIC S7-1500 CPU 1515T-2 PN SIMATIC S7-1500 CPU 1512C-1 PN SIMATIC S7-1500 CPU 1516-3 PN/DP ICS / OT

May 12, 2026
Critical 9.1

CVE-2026-25787

Affected devices do not properly validate and sanitize Technology Object (TO) name rendered on the "Motion Control Diag…

Siemens SIMATIC S7-1500 CPU 1511F-1 PN SIMATIC S7-1500 CPU 1515F-2 PN SIMATIC Drive Controller CPU 1507D TF ICS / OT

May 12, 2026
High 7.1

CVE-2026-25789

Affected devices do not properly validate and sanitize filenames on the Firmware Update page. This could allow a remote…

Siemens SIMATIC S7-1500 CPU 1516F-3 PN/DP SIMATIC S7-1500 CPU 1511C-1 PN SIMATIC S7-1500 CPU 1515-2 PN ICS / OT

May 12, 2026

Revision history

2026-05-11 #1
Initiale Fassung

References

Siemens Security Advisory vom 2026-05-11
https://cert-portal.siemens.com/productcert/html/ssa-688146.html