CISA, 19 Ağustos 2025’te enerji ve üretim dahil kritik altyapı sektörlerini etkileyen ciddi güvenlik açıklarını vurgulayarak dört kapsamlı endüstriyel kontrol sistemi (ICS) danışmanı yayınladı.
Bu tavsiyeler, 5.8 ila 9.8 arasında değişen CVSS skorları ile sömürülebilir güvenlik açıklarını detaylandırır ve sistem yöneticilerinden ve güvenlik profesyonellerinden derhal ilgi gerektirir.
Key Takeaways
1. CISA issued four ICS advisories for Siemens, Tigo Energy, and EG4 systems affecting critical infrastructure.
2. Critical vulnerabilities (CVSS up to 9.8) enable remote attacks and system compromise.
3. Update immediately - Apply vendor patches and implement network segmentation.
Kritik Siemens güvenlik açıkları
Farklı saldırı vektörlerini ele alan iki önemli Siemens tavsiyesi yayınlandı. Danışmanlık ICSA-25-231-01, CVSS V3.1 skoru 8.2 ile CVE-2025-47809 olarak izlenen en az ayrıcalık ihlali (CWE-272) güvenlik açığını belirleyerek Desigo CC Ürün Ailesi ve Sentron PowerManager’ı kapsar.
Bu güvenlik açığı, birden fazla ürün sürümünde (V5.0 ila V8) WIBU codemeter bileşenlerini etkiler ve kurulumdan hemen sonra Codemeter Kontrol Merkezi bileşeninden ayrıcalık artışını sağlar.
İkinci Siemens Danışmanlığı ICSA-25-231-02, Mendix SAML modülüne, kriptografik imza (CWE-347) güvenlik açığının daha ciddi bir doğrulanması ile ele alınır.
CVE-2025-40758, 8.7 CVSS V3.1 puanı taşır ve kimlik doğrulanmamış uzak saldırganların belirli tek oturum açma (SSO) yapılandırmalarında hesapları kaçırmasına olanak tanır.
Güvenlik açığı, dağıtıma bağlı olarak v3.6.21, v4.0.3 veya v4.1.2’ye güncellemeler gerektiren yamalar ile birden fazla mendix versiyonunu etkiler.
Tigo ve EG4 altyapı güvenlik açıkları
Enerji sektörü, güneş enerjisi altyapısını hedefleyen iki tavsiye ile özellikle ciddi tehditlerle karşı karşıya.
ICSA-25-217-02, Tigo Energy’nin Bulut Bağlantısı Gelişmiş Cihazlarını üç kritik güvenlik açıklarıyla ele alır: sert kodlanmış kimlik bilgileri (CWE-798), komut enjeksiyonu (CWE-77) ve öngörülebilir PRNG tohumları (CWE-337).
CVE-2025-7768, en yüksek CVSS V4 skorunu 9.3 alırken, CVE-2025-7769 ve CVE-2025-7770 her ikisi de 8.7 puan aldı.
Danışmanlık ICSA-25-219-07 ile kapsanan EG4 Elektronik İnvertörler, açık metin iletimi (CWE-319), ürün yazılımı bütünlüğü sorunları (CWE-494), gözlemlenebilir tutarsızlıklar (CWE-203) ve kimlik doğrulama bypass (CWE-307) dahil olmak üzere dört farklı güvenlik açığı mevcuttur.
En kritik CVE-2025-46414, Nisan 2025’te bazı güvenlik açıkları için sunucu tarafı düzeltmeleri dağıtılmasına rağmen, CVSS V4 puanı 9.2 elde etti.
Hafifletme
Siemens, 8.30A sürümünde codemeter güncellemeleri gerektirir ve SAML modülleri için kullanımı sağlar.
Tigo Energy kapsamlı düzeltmeler geliştirirken, EG4 sunucu tarafı yamaları uyguladı ve 15 Ekim 2025’e kadar yeni donanım sürümleri planlıyor.
CISA, ağ segmentasyonu, VPN tarafından sağlanan uzaktan erişim ve güvenlik duvarı izolasyonu dahil olmak üzere derinlemesine savunma stratejilerinin uygulanmasını vurgular.
Kuruluşlar, şüpheli aktivite için izlenirken ve korelasyon analizi için CISA’ya olayları bildirirken, savunma önlemleri vermeden önce etki analizine ve risk değerlendirmesine öncelik vermelidir.
Bu özel güvenlik açıkları için kamuoyunun sömürüsü bildirilmemiştir ve bu da iyileştirme çabaları için kritik bir pencere sağlar.
Safely detonate suspicious files to uncover threats, enrich your investigations, and cut incident response time. Start with an ANYRUN sandbox trial →