Siber Güvenlik Başkanlığı, Mitsubishi Electric'in ICONICS markalı endüstriyel izleme ve kontrol (SCADA/HMI) yazılımlarında tespit edilen açıklar için 16 Ekim 2026'da TR-26-1347 kodlu güvenlik bildirimi yayımladı. Bildirimde 3 CVE kodu yer alıyor; üretici 15 Ekim 2026'da düzeltmeleri ve geçici önlemleri içeren danışma belgesini duyurdu. Siber Güvenlik Başkanlığı, açıklar nedeniyle etkilenen sistemlerin tahribata uğratılması ihtimali bulunduğunu belirterek kullanıcı ve sistem yöneticilerine güvenlik önerilerini inceleyip gerekli önlemleri almalarını tavsiye etti.
Siber Güvenlik Başkanlığı bildiriminde listelenen üç güvenlik açığı parola kurtarma mekanizması ve yetki atamasıyla ilgili:
- CVE-2026-16436: Güvenlik doğrulama sistemindeki kilit açma yanıtının tüm kullanıcılarda ortak ve sabit tutulması nedeniyle bu yanıtı ele geçiren uzak bir saldırgan sistemin kilidini açabiliyor; CVSS v4 puanı 9,2.
- CVE-2026-16437: Yerelde yönetici yetkisiyle oturum açmış bir saldırgan, kilit açma yanıtını saklayan yönetim dosyasını değiştirerek sistemin kilidini kaldırabiliyor; CVSS v4 puanı 7,1.
- CVE-2026-16438: Kurulum paketlerinin yönetici hesabına gereksiz varsayılan DCOM izinleri vermesi sebebiyle bu hesapla oturum açabilen biri, normalde UAC yükseltmesi gerektiren DCOM nesnelerini yerelden veya uzaktan başlatıp çalıştırabiliyor; CVSS v4 puanı 9,4.
Üretici belgesinde ayrıca libwebp bileşenindeki sınır dışı yazma hatasından kaynaklanan ve 9,3 CVSS v4 puanına sahip dördüncü bir açık (CVE-2023-4863) yer aldı; bu açık yalnız GENESIS64 ve ICONICS Suite 10.97–10.97.2 sürümlerini etkiliyor. Mitsubishi Electric belgesinde, bu açığın şirketin ürünlerinde istismar edildiğine dair bilgi yer almıyor. Üretici, açıkların bilgi ifşasına, bilgilerin değiştirilmesine, tahrip edilmesine veya silinmesine ve hizmet dışı kalmaya yol açabileceğini belirtti.
Üç Ürüne Düzeltme Çıkmayacak
Mitsubishi Electric, CVE-2026-16436 ve CVE-2026-16437 için ICONICS Suite 10.98 ve üstü, IoTWorX 10.98 ve üstü ile GENESIS 11.04 ve üstü sürümleri kullanıma sundu. CVE-2026-16438 açığı ICONICS Suite 10.98 veya üstü ile kapatıldı; CVE-2023-4863 bileşen sorunu ise ICONICS Suite 10.97.3 veya üstü ile giderildi.
Üretici, MC Works64, GENESIS32 ve BizViz için düzeltilmiş sürüm yayımlamayı planlamadığını açıkladı. Şirket, bu yazılımları kullanan sistem yöneticilerine geçici önlemleri uygulamalarını veya GENESIS64 ya da GENESIS'e geçmelerini önerdi.
Önerilen Geçici Önlemler
Mitsubishi Electric, yama uygulanamayan veya güncelleme bekleyen sistemler için şu geçici adımları sıraladı:
- Ürünün kurulu olduğu bilgisayarlarda yerel oturum açma yetkilerini yalnızca yöneticilerle sınırlandırın.
- Güvenilmeyen ağlardan ve kullanıcılardan gelen uzak oturum açma isteklerini engelleyin.
- Güvenlik duvarı ve sanal özel ağ (VPN) kullanın; ürünün kurulu olduğu bilgisayarlara fiziksel erişimi kısıtlayın.
- Antivirüs yazılımı kullanın.
- CVE-2026-16436 ve CVE-2026-16437 için doğrulama dosyasını silip aynı adla boş dosya oluşturun; bu dosyanın yazma ve silme iznini ayrı bir yönetici hesabıyla sınırlayın.
Kaynaklar
- T.C. Siber Güvenlik Başkanlığı TR-26-1347 Güvenlik Bildirimi
- Mitsubishi Electric PSIRT Danışma Belgesi (2026-006)
- CVE-2026-16436 Kaydı
- CVE-2026-16437 Kaydı
- CVE-2026-16438 Kaydı
Kapak görseli (temsili): Mitsubishi Electric ABD genel merkezi / DigitalIceAge, Wikimedia Commons, CC BY 4.0 (1200×675 uyarlandı).
