Siber Güvenlik ve Altyapı Güvenlik Ajansı (CISA), 28 Ağustos 2025’te önde gelen satıcıların ürünleri arasında yüksek ve orta yüzlük güvenlik açıklarını detaylandıran dokuz endüstriyel kontrol sistemi (ICS) danışmanı yayınladı.
Tavsiyeler, uzaktan dengelenebilir kusurları, ayrıcalık arttırma zayıflıklarını, bellek bozulma hatalarını ve güvensiz yapılandırmaları vurgulamaktadır.
CISA ve satıcılar, operatörleri ortaya çıkan siber tehditlere karşı ICS ortamlarını korumak için kesin rehberlik eden güçlendirmeyi hedefliyorlar.
Key Takeaways
1. Nine ICS advisories detail critical flaws—from authentication bypass and credential leaks to buffer overflows and privilege escalations.
2. Apply vendor patches, isolate control networks with VPNs/firewalls.
3. Perform impact assessments, follow defense-in-depth (ICS-TIP) guidance.
Mitsubishi Electric Melsec IQ-F Serisi Kusurlar
ICSA-25-240-01 ve ICSA-25-240-02, Melsec IQ-F Serisi CPU modüllerinde iki farklı güvenlik açığını desteklemektedir.
ICSA-25-240-01’de (CVSS V4 6.9, CWE-306) kritik işlev (CVE-2025-7405) için eksik kimlik doğrulama (CVSS V4 6.9, CWE-306), uzak saldırganların kimlik doğrulaması olmadan cihaz değerlerini okumasına/yazmasına veya program yürütmesine izin verir.
ICSA-25-240-02 (CVSS V4 8.7, CWE-319) içinde hassas bilgilerin (CVE-2025-7731) clext-metin iletimi ağ üzerinden SLMP kimlik bilgilerini ortaya koyar.
Etkilenen modeller FX5U, FX5UC, FX5UJ ve FX5S serilerini kapsar ve ürün yazılımı sürümü eşikleri belirtilir. Satıcılar LAN izolasyonu, VPN uygulama, IP filtreleme ve fiziksel erişim kontrollerini önerir.
Schneider, Delta, Ge Vernova Kusurları
Schneider Electric’in ICSA-25-240-03’teki Saitel DR/DP RTU’ları, uygunsuz ayrıcalık yönetimini (CVE-2025-8453, CVSS V3 6.7) ifşa ederek, kimlik doğrulamalı mühendislerin yapılandırma dosya kurcalaması yoluyla ayrıcalıkları artırmasını sağlıyor. Patch tonu v11.06.30 bunu ele alıyor.
Delta Electronics Yüzeyler İki tavsiye: CNCSOFT-G2 ICSA-25-240-04’te CNCSOFT-G2 YAZI (CVE-2025-47728, CVSS V4 8.5), hatalı biçimlendirilmiş DPAX dosyaları aracılığıyla keyfi kod yürütülmesine izin verir; V2.1.0.27 veya üstüne güncelleme.
ICSA-25-240-05’te Commgr Buffer Taşma ve Kod Enjeksiyonu (CVE-2025-53418 CVSS V4 8.8; CVE-2025-53419 CVSS V4 8.4) içinde v2.10.0’a yama gerektirir.
GE Vernova’nın cimplicity HMI/SCADA Suite (ICSA-25-240-06), yerel ayrıcalık artışına izin veren kontrolsüz bir arama yolu öğesinden (CVE-2025-7719, CVSS v4 7.0) muzdariptir; 2024 SIM 4’e yükseltme önerilir.
Mitsubishi ve Hitachi Enerji Kusurları
Çoklu FA Mühendislik Yazılım Ürünleri (ICSA-24-135-04, CVSS V4 4.4) Ayrıntılı ayrıcalık, kaynak tüketimi ve sınır dışı 30’dan fazla yazılım programı (CVE-2023-51776 ila CVE-2024-26314) arasında kusurlar yazıyor.
Kullanıcılar güncelleme D’yi (listelenen en son sürümler) uygulamalı ve derinlemesine savunma yönergelerini izlemelidir.
ICONICS Dijital Çözümler ve MC Works64 (ICSA-25-140-04, CVSS V4 6.8) Alarmworx64 Çevrici Hizmetlerinde gereksiz ayrıcalıklarla (CVE-2025-0921) yürütme; Hiktarlamalar arasında klasik OPC Point Manager’ı devre dışı bırakma ve yalnızca yönetici girişlerinin uygulanması yer alır.
Son olarak, Hitachi Energy’nin Relion 670/650 ve SAM600-IO serisi (ICSA-25-184-01) olağandışı koşullar (CVE-2025-1718, CVSS V4 7.1) için uygunsuz bir kontrol ortaya koyar ve FTP-onaysız kullanıcıların cihaz yeniden başlatmalarını tetiklemelerine izin verir.
Ürün Yazılımı Sürümleri 2.2.6.4 ve 2.2.5.8 veya üstü riski azaltın.
CISA, darbe analizlerinin yapıldığını, kontrol ağlarının izole edilmesini, VPN’leri ve güvenlik duvarlarını kullanmayı ve önerilen ICS-TIP ve Derinlemess Stratejileri’ne bağlı kalmayı vurgular.
Kuruluşlar şüpheli sömürü girişimlerini bildirmeli ve gecikmeden satıcı tarafından sağlanan yamalar uygulamalıdır.
Bu hikayeyi ilginç bul! Daha fazla anında güncellemeler almak için bizi Google News, LinkedIn ve X’te takip edin.