Pentagon-Zulassung für Lantronix-Drohnencomputer – Tage nach CISA-Warnung vor Root-Lücken in dessen Gateways

Lantronix meldete am 1. Oktober 2026, sein Drohnencomputer Open-Q 8550CS sei in das Blue UAS Framework aufgenommen worden – das Verzeichnis geprüfter Komponenten für Drohnenprogramme der US-Regierung, das die Defense Contract Management Agency (DCMA) führt. Vorausgegangen war eine Prüfung, die nach Unternehmensangaben mehr als sechs Monate lief und über die bestehenden Zertifizierungen hinausging ¹. Die Berichterstattung dazu ging auf die bezahlte Pressemitteilung↗ zurück ¹⁷. Die acht Tage zuvor stellten einen anderen Rekord auf.

Das Pentagon legte Lantronix’ Drohnen-Gehirn sechs Monate lang auf den Prüfstand; in den acht Tagen vor der Ankündigung veröffentlichten Forscher Root-Schwachstellen in zwei weiteren ausgelieferten Produkten des Unternehmens ¹²³.

Eine Listung, die OEMs Monate erspart

Die DCMA untersuchte Hardware, Stückliste, Firmware, Datenflüsse und Lieferkette des Moduls; die Listung erspart Drohnen-OEMs Monate eigener Validierungsarbeit ¹. Der Präsidialerlass 14307, „Unleashing American Drone Dominance“, weist die Behörden an, das Framework auszuweiten ¹.

Drei Produktlinien seit Juni beanstandet

Am 29. September warnte die CISA vor dem Mobilfunk-Gateway G520↗: Das weltweit in Verkehr, Energie und Wasserversorgung eingesetzte Gerät akzeptiere nicht autorisierte Software-Pakete und habe seinen Produktions-Signaturschlüssel in einem öffentlich verteilten SDK ausgeliefert ². Beide Wege enden in Code-Ausführung mit Root-Rechten; beide sind mit der Firmware-Version 2.6.0.7R6 behoben, laut CISA ist keine Ausnutzung bekannt ².

Am 23. September offenbarte das Team 0day Rubbish eine authentifizierte Kommando-Injektionskette bis Root auf dem Geräteserver SGX5150↗, mit einem Score von 7,2; dazu eine Umgehung der Digest-Authentifizierung mit einem Score von 9,8 ³. Die Injektion wurde in einer Emulation verifiziert, nicht auf der Hardware; eine CVE-Nummer wurde bislang nicht vergeben ³.

Die Juni-Lücke steht bereits auf der Ausnutzungsliste

Bereits im Juni hatte die CISA eine unauthentifizierte Schwachstelle mit einem Score von 9,8 in den Konsolenservern EDS5000 in ihren Katalog ausgenutzter Schwachstellen↗ aufgenommen – eine von 22 Lücken, die Forescout in Konvertern von Lantronix und Silex gefunden hatte ⁴. Für das G520 gibt es einen Patch; der Bericht zum SGX5150 enthält eine Herstellerbenachrichtigung, aber keinen Fix ²³. Entscheidend ist das Muster.

Was man für das 2,39-Fache des Umsatzes bekommt

Unbemannte Systeme steuerten im Geschäftsjahr 2026 12,6 Millionen Dollar zum Umsatz bei, nach einem minimalen Beitrag im Vorjahr; der Gesamtumsatz lag bei 120,9 Millionen Dollar. Die Zahl der aktiven Projekte stieg von rund 10 auf mehr als 30 ⁵. Die Liste der namentlich genannten Projekte reicht von Teal Drones und Swarmer bis AVT Australia ⁸.

Das Management hat für die Drohnensparte 15 bis 20 % des Umsatzes im Geschäftsjahr 2027 als Ziel ausgegeben↗; bei konstantem Umsatz entspricht das 18 bis 24 Millionen Dollar – ein Wachstum von 43 bis 90 % ⁵. Die Bilanz ist sauber: mehr als 60 Millionen Dollar Cash und keine Schulden, nachdem die letzten 8,7 Millionen Dollar an Krediten getilgt wurden; auch der GAAP-Verlust schrumpft ⁶.

GuruFocus↗ bewertet die Aktie mit dem 2,39-Fachen des Umsatzes, im Vergleich zum historischen Median von 1,4; die Marktkapitalisierung beträgt 338 Millionen Dollar, und ein GF Value von 3,36 Dollar steht einem Kurs von 7,21 Dollar gegenüber ⁷.

1,8 Millionen zusätzliche Aktien – und ein Wechsel im Verwaltungsrat

Die Aktionäre stimmen über die Aufnahme von 1,8 Millionen zusätzlichen Aktien in den Aktienplan von 2020 ab↗; zum Stichtag standen dort nur noch 80.032 Aktien für neue Zusagen zur Verfügung. Das Limit des Plans steigt damit auf 8.949.047 Aktien, bei 46.879.400 ausstehenden Aktien ⁹.

Verwaltungsratschef Hoshi Printer, seit 2010 im Gremium und die ganze Zeit Vorsitzender des Prüfungsausschusses, und Direktor Jim Auker scheiden auf der Hauptversammlung aus; zur Wahl steht Jason Lamb, ein ehemaliger Navy-SEAL-Offizier, der heute The LGL Group leitet ⁸. Strider Capital hat einen Anteil von 5,5 % neu gemeldet↗ – ohne Stimmrechte und mit einer Bescheinigung als passiver Investor ¹⁰.

Beides stimmt zugleich: ein von der DCMA geprüfter Drohnencomputer und drei weitere Produktlinien, die binnen vier Monaten gepatcht wurden oder auf eine CVE warten. Das Re-Rating trägt nur, wenn sich die mehr als 30 Projekte in der Zielvorgabe für das Geschäftsjahr 2027 niederschlagen, bevor die Abstimmung über die Verwässerung und die Historie der Sicherheitsmeldungen ihre eigene Wirkung entfalten.