Siemens ProductCERT’in 13 Ekim 2026’da yayımladığı SSA-591731 bülteni, ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı CISA tarafından 22 Ekim’de ICSA-26-295-14 numarasıyla yeniden yayımlandı. Bültene göre başta SIMATIC S7-1500 ailesi olmak üzere 157 ürünün web sunucusunda sekiz açık bulunuyor. Siemens’e göre 28 Ekim itibarıyla düzeltme yok; Siemens düzeltmelerin hazırlandığını belirtiyor ve geçici önlemler öneriyor. CISA’nın bülteninde açıkların kötüye kullanıldığına dair bir bilgi yer almıyor.
Ne oldu
Bültene göre sekiz açığın hepsi, web sunucusunun Trace (izleme) sayfasına içe aktarılan iz dosyalarıyla ilgili. Saldırgan, “Read diagnostics” (tanılama okuma) yetkisi olan bir kullanıcıyı sosyal mühendislikle özel hazırlanmış bir iz dosyasını içe aktarmaya ikna ederse, kendi denetimindeki JavaScript kodu kullanıcının tarayıcı oturumunda çalışabiliyor. Siemens’e göre bu durumda web sunucusu üzerinden, kullanıcının yetkisi kapsamında PLC işlemleri yapılabiliyor.
CISA’nın yayımladığı CVSS 3.1 puanlarına göre üç açık 9,6, beş açık 6,1 puanlı:
- CVE-2026-63350 (9,6; CWE-95): İçe aktarılan iz dosyalarındaki çalıştırılabilir içerik yeterince kısıtlanmıyor.
- CVE-2026-63353 (9,6; CWE-79): İz dosyalarındaki yorum alanları Trace sayfasında gösterilmeden önce temizlenmiyor.
- CVE-2026-63354 (9,6; CWE-79): CSV iz dosyalarındaki görsel işaretçi verileri doğrulanmadan ve temizlenmeden gösteriliyor.
- CVE-2026-63351, CVE-2026-63352, CVE-2026-63355, CVE-2026-63356 ve CVE-2026-63357 (her biri 6,1; CWE-79): CSV iz dosyalarındaki ve hesaplanan sinyal dosyalarındaki sinyal adları, hesaplanan sinyal verileri ve görsel özellikler Trace sayfasında, seçim menülerinde ya da hata iletilerinde temizlenmeden gösteriliyor.
Kimleri etkiler
Bültende 157 ürün listeleniyor ve hepsinde bütün sürümler etkilenen olarak geçiyor. CISA’nın bülten dosyasındaki ürün listesine göre bunların 70’i SIMATIC S7-1500 CPU, 33’ü SIPLUS S7-1500 CPU, 17’si SIMATIC ET 200SP CPU ve Open Controller, 16’sı S7-1500 Software Controller, 14’ü SIPLUS ET 200SP, 4’ü S7-1500 ET 200pro CPU, 2’si SIMATIC Drive Controller ve 1’i S7-PLCSIM Advanced. CISA, etkilenen ürünlerin dünya genelinde kullanıldığını ve kritik imalat, ulaştırma sistemleri, enerji, sağlık ve halk sağlığı, finansal hizmetler ile kamu hizmetleri ve tesisleri sektörlerinde yer aldığını belirtiyor.
Üretici ne öneriyor
Siemens’e göre 28 Ekim itibarıyla düzeltme yok. Bültende Siemens’in üç geçici önlem önerisi yer alıyor: birincisi, gerekmiyorsa web sunucusunu kapatmak ve 80/tcp ile 443/tcp bağlantı noktalarına erişimi yalnız güvenilen IP adresleriyle sınırlamak; ikincisi, web sunucusuna yalnız yetkin personelin erişmesini sağlamak; üçüncüsü, yalnız güvenilen iz dosyalarını yüklemek. CISA ayrıca kontrol sistemlerinin internetten erişilebilir olmamasını ve iş ağlarından güvenlik duvarıyla ayrılmasını öneriyor.
Bültenin tamamı ve ürün listesi yan sütundaki bağlantıda.
