Siber Güvenlik Başkanlığı, Siemens RUGGEDCOM ürünlerine yönelik TR-26-1318 kodlu bildirimi 14 Ekim 2026'da yayımladı. Siemens'in 13 Ekim 2026 tarihli SSA-508506 duyurusuna göre bildirimdeki 11 açığın tamamı, akıllı elektronik cihazlara (IED) erişimi yöneten RUGGEDCOM CROSSBOW'un V6.0 öncesi tüm sürümlerini etkiliyor. Üretici, zafiyetlerin giderilmesi için sistemlerin V6.0 veya sonrasına güncellenmesini öneriyor.
Başkanlık, kullanıcı ve sistem yöneticilerine güvenlik bildirimini incelemelerini ve gerekli güncellemeleri yapmalarını tavsiye etti. CVE kayıtlarına göre açıkların tamamı oturum açmış bir saldırgan gerektiriyor. Siemens'e göre zafiyetler; alttaki veri tabanında SQL komutu çalıştırılmasına, yönetici kimlik bilgilerinin ele geçirilmesine, yetki yükseltilmesine ve sistem yapılandırmasının değiştirilmesi ya da hizmetin aksatılması gibi yetkisiz işlemlere imkân verebiliyor.
SQL enjeksiyonu ve yönetici kimlik bilgisi açıkları
CVE kayıtlarında yer alan bilgilere göre en yüksek puanlı açıklar SQL enjeksiyonu ve erişim denetimi eksikliklerinden oluşuyor. CVE-2026-89199 kodlu zafiyette hassas yapılandırma kayıtlarına erişim denetimi eksikliği bulunuyor ve CVE kaydına göre CVSS 3.1 puanı 8.8 olan bu açık nedeniyle iç sistemlerin yönetici kimlik bilgileri okunabiliyor.
Yine CVE kaydına göre CVSS 3.1 puanı 8.8 olarak hesaplanan üç ayrı SQL enjeksiyonu açığı bulunuyor: CVE-2026-89196 toplu içe ve dışa aktarmada tesis adları üzerinden, CVE-2026-89197 bildirim profili koşul değerleri üzerinden, CVE-2026-89198 ise yüklenen ürün yazılımı (firmware) dosyasının adı üzerinden SQL komutu çalıştırılmasına izin veriyor. Toplu dışa aktarmada cihaz grubu ve tesis adlarında SQL komutuna imkân tanıyan CVE-2026-89201 açığının puanı 7.5; yönetici yetkisi gerektiren özel dosya etiketlerindeki CVE-2026-89200 açığının puanı ise 6.7 seviyesinde kalıyor.
Yetki denetimi eksiklikleri
Bildirimde yer alan diğer açıklar ise doğrudan sunucu tarafındaki yetki denetimi eksikliklerine dayanıyor:
- CVE-2026-89202: Cihaz bağlantısını kesme isteklerinde yetki denetimi yapılmıyor; düşük yetkili kullanıcı diğer kullanıcıların oturumlarını sonlandırabiliyor (CVSS 6.5).
- CVE-2026-89205 ve CVE-2026-89206: Özel işlemlerin yetkisiz zamanlanması (CVSS 6.3) ile zamanlanmış işlemleri yeniden deneme, durdurma ve silme süreçlerinde yetki denetimi eksikliği (CVSS 6.3).
- CVE-2026-89204: Alt ağ yapılandırmalarını okuma, değiştirme veya silme imkânı (CVSS 5.4).
- CVE-2026-89203: Tanımlı yetki seviyesinin üstünde sistem geneli bilgiye erişim (CVSS 4.3).
Açıkların sahada kullanılıp kullanılmadığı ve etkilenen kurulum sayısı bilinmiyor; Türkiye'de CROSSBOW kullanımına dair bilgi de yok. Zafiyetler CISA KEV listesinde yer almıyor. Siemens, V6.0 veya sonrasına güncellemenin yanı sıra genel önlem olarak cihazlara ağ erişiminin uygun mekanizmalarla korunmasını öneriyor.
Kaynaklar
- T.C. Siber Güvenlik Başkanlığı (SGB) Güvenlik Bildirimi TR-26-1318
- Siemens ProductCERT SSA-508506 Güvenlik Duyurusu
- CVE.org — CVE-2026-89196 Kaydı
- CVE.org — CVE-2026-89199 Kaydı
- NIST NVD — CVE-2026-89196 Ayrıntıları
Kapak görseli: Siemens logosu / Wikimedia Commons, kamu malı (1200×675 uyarlandı).
