Endüstriyel kontrol sistemleri (ICS) alanında faaliyet gösteren üç büyük şirket - Siemens, Schneider Electric ve Rockwell Automation - Temmuz 2026 Patch Tuesday bültenlerini yayınlayarak ürünlerindeki güvenlik açıklarını duyurdu. Bu güncellemeler, kritik altyapıları hedef alan siber saldırılara karşı önemli bir koruma sağlıyor. Özellikle Siemens'in Opencenter X ürününde bulunan ve CVSS puanı 10 olan bir token geçersiz kılma zafiyeti, saldırganların kimlik doğrulamayı atlayarak tam erişim elde etmesine olanak tanıyor. Bu tür yüksek riskli açıkların kapatılması, endüstriyel tesislerin güvenliği için kritik öneme sahip.
Siemens, toplam dokuz yeni bülten yayınladı. Bunlardan altısı kritik seviyedeki güvenlik açıklarını kapsıyor. Mendix, Sidis Secured SmartPlug, Simatic S7-1500, Cadra ve Desigo CC ürünlerinde de kritik zafiyetler giderildi. Bu açıkların çoğu üçüncü taraf bileşenlerde bulunuyor ve hizmet reddi (DoS) saldırıları, kod yürütme, hassas veri sızdırma ve ayrıcalık yükseltme gibi ciddi sonuçlara yol açabiliyor. Ayrıca Simatic S7-PLCSIM, Ruggedcom APE1808, Comos, Designcenter, Simcenter, Solid Edge ve Tecnomatix ürünlerinde de yüksek önem dereceli zafiyetler düzeltildi.
Schneider Electric, iki yeni bülten yayınladı. Bunlardan ilki, IGSS (Interactive Graphical SCADA System) ürünündeki yüksek önem dereceli bir zafiyeti ele alıyor. Saldırgan, özel hazırlanmış dosyalar kullanarak keyfi kod çalıştırabiliyor. İkinci bülten ise EcoStruxure Cybersecurity Admin Expert ürününde bulunan ve yerel bir saldırganın yönetilen cihazları tehlikeye atmasına izin veren bir kimlik doğrulama atlama zafiyetini açıklıyor. Bu açıklar, özellikle SCADA sistemlerinin hedef alındığı saldırılarda kullanılabileceği için önem taşıyor.
Sistem Güvenliği
Rockwell Automation, 12 yeni bülten yayınladı. Bunlardan ikisi kritik seviyedeki zafiyetleri kapsıyor. 1715 Redundant IO ürününde bulunan kritik bir zafiyet, kimliği doğrulanmamış bir saldırganın CLI komutlarına erişmesine olanak tanıyor. Bu sayede saldırgan dosya okuyabilir/silebilir, görevleri durdurabilir, G/Ç durumlarını değiştirebilir ve belleği modifiye edebilir. Ayrıca CompactLogix, ControlLogix, Compact GuardLogix ve GuardLogix kontrolcülerinde üç kritik DoS zafiyeti giderildi. Bu açıklar, büyük çaplı kurtarılamaz hatalara neden olabiliyor.
Önemli Gelişmeler
Rockwell, ayrıca Flex 5000 Adapter, FactoryTalk DataMosaix, FactoryTalk Services Platform, Arena, ThinManager, Studio 5000 Logix Designer, 1756-EN, 1734 POINT I/O ve 1719-AENTR ürünlerindeki yüksek önem dereceli zafiyetleri de düzeltti. ABB ve Mitsubishi Electric ise bu Patch Tuesday'de yeni bülten yayınlamadı ancak geçtiğimiz ay boyunca kritik ve yüksek önem dereceli zafiyetler hakkında müşterilerini bilgilendirdi. ABB'ye ait üç ve Rockwell'e ait bir bülten, ABD siber güvenlik ajansı CISA tarafından da dağıtıldı.
Almanya'nın VDE CERT kurumu, Murrelektronik, Mettler Toledo, Codesys ve Wago ürünlerindeki zafiyetleri kapsayan beş yeni bülten yayınladı. Bu gelişmeler, endüstriyel siber güvenliğin ne kadar dinamik ve kritik olduğunu bir kez daha gösteriyor. Özellikle ICS ürünleri kullanan işletmelerin, güvenlik bültenlerini yakından takip etmeleri ve gerekli yamaları zamanında uygulamaları büyük önem taşıyor. Aksi takdirde, siber saldırganlar bu açıkları kullanarak üretim süreçlerini durdurabilir, veri sızdırabilir veya fiziksel hasara yol açabilir.
Endüstriyel kuruluşların, bu tür güvenlik açıklarına karşı proaktif bir yaklaşım benimsemeleri gerekiyor. Düzenli yama yönetimi, ağ segmentasyonu, çok faktörlü kimlik doğrulama ve sürekli izleme gibi önlemler, riskleri minimize etmede etkili olacaktır. Ayrıca, ICS güvenliği konusunda uzmanlaşmış ekiplerin kurulması ve çalışanların siber güvenlik farkındalığının artırılması da kritik öneme sahip. Unutulmamalıdır ki, endüstriyel sistemlerdeki bir güvenlik açığı, sadece veri kaybına değil, aynı zamanda can ve mal kaybına da yol açabilir.
Kaynak: securityweek.com
