ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), KNX Association KNX Protokolü Bağlantı Yetkilendirme Seçeneği 1 ve Oracle E-Business Suite'teki iki güvenlik açığını Bilinen Sömürülen Güvenlik Açıkları (KEV) kataloğuna ekledi. Bu hamle, söz konusu zafiyetlerin gerçek dünyada aktif olarak kullanıldığını teyit ediyor ve federal kurumlar ile özel sektör için acil yama çağrısı niteliği taşıyor.
Kataloğa eklenen ilk güvenlik açığı CVE-2023-4346 (CVSS puanı 7.5). Bu zafiyet, KNX cihazlarında Bağlantı Yetkilendirme Seçeneği 1 kullanıldığında ortaya çıkan aşırı kısıtlayıcı hesap kilitleme mekanizmasından kaynaklanıyor. KNX, bina otomasyon sistemlerinde yaygın olarak kullanılan bir protokol olup, akıllı aydınlatma, ısıtma, havalandırma ve güvenlik sistemlerini kontrol ediyor. CVE-2023-4346, ağa erişimi olan veya cihaza fiziksel erişim sağlayabilen bir saldırganın BCU anahtarı belirleyerek cihazı kilitlemesine ve meşru kullanıcıların erişimini engellemesine olanak tanıyor. Bu durum, cihaz kullanılabilirliğinin kaybolmasına ve KNX kurulumlarının kesintiye uğramasına yol açabiliyor.
İkinci güvenlik açığı ise CVE-2026-46817 olarak izlenen ve Oracle E-Business Suite'in Oracle Payments bileşenini etkileyen bir ayrıcalık yönetimi zafiyeti. Oracle Payments sürüm 12.2.3 ile 12.2.15 arasındaki tüm sürümler bu açıktan etkileniyor. Saldırgan, HTTP üzerinden kimlik doğrulaması olmadan sistemi tamamen ele geçirebiliyor. Oracle, geçen ayki Kritik Güncelleme Yaması (CPU) ile bu sorunu giderdi ve müşterilerin yamayı hemen uygulamasını istedi. Defused Cyber araştırmacıları, temmuz ayı başında bu güvenlik açığının aktif olarak sömürüldüğü konusunda uyarıda bulundu.
CISA'nın Bağlayıcı Operasyonel Direktifi (BOD) 22-01 uyarınca, federal sivil yürütme organı (FCEB) kurumlarının bu güvenlik açıklarını belirtilen son tarihlere kadar gidermesi zorunlu. CISA, federal kurumlara Oracle güvenlik açığını 18 Temmuz 2026'ya kadar, KNX protokolü açığını ise 29 Temmuz 2026'ya kadar düzeltmeleri talimatını verdi. Bu son tarihler, tehdit aktörlerinin bu zafiyetleri kullanarak kritik altyapılara sızmasını engellemeyi hedefliyor.
Uzmanlar, sadece federal kurumların değil, özel sektör kuruluşlarının da CISA'nın KEV kataloğunu incelemesini ve altyapılarındaki ilgili güvenlik açıklarını gidermesini tavsiye ediyor. Özellikle bina otomasyon sistemlerini yöneten firmaların KNX cihazlarını güncellemesi, Oracle E-Business Suite kullanan işletmelerin ise en son kritik güncellemeyi uygulaması kritik önem taşıyor. Aksi takdirde, saldırganlar bu açıkları kullanarak ağlara sızabilir, veri hırsızlığı yapabilir veya hizmet kesintisine yol açabilir.
Önemli Gelişmeler
Defused Cyber, CVE-2026-46817'yi sömüren saldırılarla ilgili teknik detayları veya saldırganların motivasyonunu açıklamadı. Ancak, bu tür aktif sömürü uyarıları genellikle siber casusluk, fidye yazılımı veya kurumsal sabotaj amaçlı olabiliyor. Oracle Payments, şirketlerin ödeme işlemlerini yönettiği için bu zafiyet finansal verilerin çalınmasına da yol açabilir. KNX protokolündeki açık ise akıllı bina sistemlerini hedef alarak fiziksel güvenlik riskleri oluşturabilir; örneğin, bir binanın ısıtma veya aydınlatma sistemini kilitlemek, iş sürekliliğini ciddi şekilde etkileyebilir.
Kaynak: securityaffairs.com
