ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), çeşitli endüstrilerde kullanılan kritik sistemlerdeki önemli güvenlik açıklarını gidermek için altı Endüstriyel Kontrol Sistemi (ICS) tavsiyesi yayınladı.
Bu öneriler, yama yapılmaması durumunda yetkisiz erişime, sistemin tehlikeye atılmasına veya hassas verilerin açığa çıkmasına yol açabilecek güvenlik kusurları hakkında önemli bilgiler sağlar.
Kuruluşların bu tavsiyeleri incelemeleri ve potansiyel riskleri azaltmak için derhal harekete geçmeleri teşvik edilmektedir.
mySCADA’nın myPRO Yöneticisi ve myPRO Çalışma Zamanı
İlk danışma belgesi, ICSA-25-023-01, iki kritik işletim sistemi komut ekleme güvenlik açığından etkilenen mySCADA’nın myPRO Yöneticisi ve myPRO Çalışma Zamanı’na odaklanıyor.
CVE-2025-20061 ve CVE-2025-20014 olarak tanımlanan bu kusurlar, uzaktaki saldırganların uygun şekilde etkisiz hale getirilen POST istekleri nedeniyle rastgele işletim sistemi komutları yürütmesine olanak tanıyor.
Investigate Real-World Malicious Links & Phishing Attacks With Threat Intelligence Lookup - Try for Free
CVSS v4 puanı 9,3 olan bu güvenlik açıkları, 1.3’ten önceki myPRO Manager sürümlerini ve 9.2.1’den önceki myPRO Runtime sürümlerini etkiler. Kullanıcıların bu istismarlara karşı korunmak için en son sürümlere güncelleme yapmaları önerilir.
Hitachi Energy’nin RTU500 serisi
İkinci tavsiye niteliğindeki ICSA-25-023-02, Hitachi Energy’nin RTU500 serisiyle ilgilidir ve kimliği doğrulanmış kullanıcıların güvenli ürün yazılımı güncelleme kontrollerini atlamasına olanak tanıyan bir kusur içerir.
CVE-2024-2617 olarak izlenen bu güvenlik açığının CVSS v3 puanı 7,2’dir ve 13.5.1–13.5.3, 13.4.1–13.4.4 ve 13.2.1–13.2.7 ürün yazılımı sürümlerini etkiler.
Saldırganlar başarılı bir şekilde yararlanılırsa imzasız ürün yazılımı yükleyerek sistem bütünlüğünü tehlikeye atabilir. Hitachi Energy, yalnızca imzalı ürün yazılımı güncellemelerinin dağıtılmasını ve erişimin yetkili personelle sınırlandırılmasını önerir.
Schneider Electric’ten EVlink Home Smart
Üçüncü tavsiye niteliğindeki ICSA-25-023-03, Schneider Electric’in EVlink Home Smart ve Schneider Charge şarj istasyonlarındaki bir güvenlik açığına dikkat çekiyor.
CVE-2024-8070 adlı bu kusur, saldırganların yararlanabileceği ürün yazılımı ikili dosyalarındaki test kimlik bilgileri gibi hassas bilgilerin açık metin olarak depolanmasını içerir.
CVSS v3 puanı 8,5 olan bu güvenlik açığı, 2.0.6.0.0’dan önceki tüm EVlink Home Smart sürümlerini ve 1.13.4’ten önceki tüm Schneider Charge sürümlerini etkilemektedir. Schneider Electric, en son ürün yazılımı güncellemelerinin uygulanmasını ve bu cihazlara fiziksel ve ağ erişiminin kısıtlanmasını önerir.
Schneider Electric’in Easergy Stüdyosu
Başka bir tavsiye niteliğindeki ICSA-25-023-04, Schneider Electric’in Easergy Studio’sundaki ayrıcalık yükseltme güvenlik açığını ele alıyor.
CVE-2024-9002 olarak tanımlanan ve CVSS v3 puanı 7,8 olan bu kusur, dosya sistemi erişimine sahip saldırganların kurulum dizinindeki ikili dosyalar üzerinde değişiklik yaparak ayrıcalıkları yükseltmesine olanak tanıyor.
Bu güvenlik açığı Easergy Studio’nun 9.3.1 ve önceki sürümlerini etkiler. Kuruluşların, yetkisiz kullanımı önlemek için en son sürüme güncelleme yapması ve sistem erişimini kısıtlaması tavsiye edilir.
Schneider Electric’in EcoStruxure Power Build’i
Beşinci tavsiye niteliğindeki ICSA-25-023-05, Schneider Electric’in uygunsuz bir bellek arabelleği kısıtlama sorunuyla karşı karşıya olan EcoStruxure Power Build Rapsody’si ile ilgilidir.
CVE-2024-11139 adlı bu güvenlik açığı, yerel saldırganların kötü amaçlı bir proje dosyasını açarak rastgele kod yürütmesine olanak tanıyor. CVSS v4 puanı 4,6 olan bu kusur, v2.5.2 NL, v2.7.1 FR ve v2.5.4 INT dahil olmak üzere birden fazla yerelleştirilmiş sürümü etkilemektedir.
Kullanıcılar güvenilmeyen proje dosyalarını açmaktan kaçınmalı ve Schneider Electric’in en son güncellemelerini yüklemelidir.
HMS Networks’ün Ewon Flexy 202’si
Son olarak ICSA-25-023-06, HMS Networks’ün Ewon Flexy 202 cihazlarındaki bir güvenlik açığını giderir.
Bu kusur (CVE-2025-0432), cihazın web arayüzü aracılığıyla eklendiğinde veya değiştirildiğinde kullanıcı kimlik bilgilerinin açık metin olarak iletilmesi nedeniyle oluşur. CVSS v4 puanı 6,9 olan bu güvenlik açığı, cihazın tüm sürümlerini etkiliyor.
Kuruluşlar, cihaza ağ erişimini kısıtlamalı ve hassas bilgilerin ele geçirilmesini önlemek için şifreleme protokolleri uygulamalıdır.
Bu tavsiyeler, riskleri azaltmak için zamanında güncellemelerin ve güçlü siber güvenlik uygulamalarının önemini vurgulamaktadır. Etkilenen ürünleri kullanan kuruluşlar, satıcının önerdiği yamaları ve güncellemeleri uygulamaya öncelik vermelidir.
Ayrıca ağ etkinliğini izlemek, sıkı erişim kontrolleri uygulamak ve bu güvenlik açıklarının yetkisiz kullanımını önlemek için güçlü kimlik doğrulama mekanizmaları uygulamak çok önemlidir.
Jenkins & Jira’yı Kullanarak Uygulama Güvenliğini CI/CD İş Akışlarınıza Entegre Etme -> Ücretsiz Web Semineri