PHP2Shell açıkları CISA KEV kataloğuna eklendi, OT üreticileri etkilenen ürünleri doğruladı

İki PHP açığı CISA'nın sömürüldüğü bilinenler listesine girdi

CISA, PHP2Shell olarak bilinen ve CVE-2026-109618 ile CVE-2026-109619 olarak izlenen açık çiftini 26 Ekim'de Known Exploited Vulnerabilities (KEV) kataloğuna ekledi ve her ikisini de aktif sömürü altında olarak işaretledi. Danışman Max Gilg'in dev.io'daki OT Security Weekly DACH özetine göre bu açıklar, Almanya, Avusturya ve İsviçre'deki endüstriyel güvenlik açısından haftanın gelişmelerine damgasını vurdu. Özet, bölgenin genel OT tehdit düzeyini 44. takvim haftası için yükselmiş olarak değerlendirirken, elektrik ve şebeke, gıda ve içecek ile makine imalatı sektörlerini her biri yüksek riskli olarak belirtiyor.

Hatalar PHP'nin kendisinde yer alıyor ve yukarı akış düzeltmeleri PHP 8.5.12, 8.4.27, 8.3.36 ve 8.2.35 sürümlerinde geliyor. Tesis operatörleri için asıl zorluk, PHP'nin endüstriyel ekipmanın web arayüzlerine gömülü olması; dolayısıyla bir sunucu runtime'ını yamalamak işin tamamı değil.

OT üreticileri maruziyeti doğruladı

Özete göre birkaç endüstriyel üretici etkilenen ürünleri zaten doğruladı: Siemens (RUGGEDCOM APE1808, yama rehberi destek organizasyonu üzerinden yürütülüyor), Schneider Electric, B&R (APROL), Belden NetModule (henüz yama yok), HMS (Netbiter ve Talk2M) ve Wibu-Systems (CodeMeter License Central). Palo Alto'nun PAN-OS'u da etkileniyor; bu önemli çünkü PAN-OS, şebeke operatörlerinin ve belediye enerji şirketlerinin kullandığı uç ve uzaktan bakım dağıtımlarını çalıştırıyor.

Özellikle NetModule router'ları için özet, yama gelene kadar web arayüzünün tamamen devre dışı bırakılmasını öneriyor, çünkü henüz bir yama yok.

PHP'nin ötesinde yoğun bir duyuru haftası

Aynı haftalık rapor birkaç paralel gelişmeye dikkat çekiyor:

• Bir Cisco ASA/FTD zero-day'si, operatörlerin saha dışı bakım için bel bağladığı uzaktan erişim ağ geçitleri olan SSL-VPN cihazlarını çökertmek için sömürülüyor. Cisco sömürüyü doğruladı; geçici azaltıcı önlemleri yapılandırmaya bağlı ve Cisco'nun kendisinin de uyardığı gibi güvenliği zayıflatıyor.
• Siemens, CISA danışma notu ICSA-26-295-14 kapsamında SIMATIC S7-1500 ve ET 200SP denetleyicilerinin web sunucularındaki sekiz açığı bildirdi. Bu yaygın dağıtılmış cihazların bazıları için düzeltmeler eksik veya beklemede.
• Bir kimlik doğrulama atlama açığı, Mitsubishi Electric'in ICONICS GENESIS64 ve MC Works64 yazılımlarını etkiliyor (CISA danışma notu ICSA-26-300-02).
• Forescout araştırması, Copeland/Dixell XWEB ve Danfoss StoreView ürünleri dahil olmak üzere soğutma kontrol sistemlerinin doğrudan internete açık olduğunu ortaya koyarken, Veeam Backup & Replication 13'teki bir ön kimlik doğrulama açığı kurtarma yeteneğini riske atıyor.

Sektör etkisi ve bildirim yükümlülükleri

Makine imalatçıları için özet, bir uyumluluk boyutuna dikkat çekiyor: "dijital bileşenli ürünler" içinde PHP teslim eden üreticiler, AB Siber Dayanıklılık Yasası (Cyber Resilience Act) kapsamında bildirim yükümlülükleriyle karşılaşabilir. Özet, yazılım bileşen listelerini (SBOM) şimdi kontrol etmeyi veya firmware analizi yapmayı ve bir rapor ya da bildirim gerektiğinde müşterileri proaktif olarak bilgilendirmeyi tavsiye ediyor.

Yamalanmamış Siemens PLC web sunucusu açıkları, müşteri tesislerinde halihazırda kurulmuş makineleri de etkiliyor; bu yüzden özet, üreticilerin etkilenen müşterilere kısa bir servis bildirimi göndermesini ve Siemens'in yama takvimini izlemesini öneriyor.

Önerilen eylemler

Özetin kısa vadeli yönergeleri maruziyet azaltmaya odaklanıyor:

• Güvenlik duvarı ve uç cihaz yönetim arayüzlerini bir jump host ile sınırlayın ve mevcut olan yerlerde PHP düzeltmelerini uygulayın.
• Cisco ASA/FTD'yi güncelleyin, SIEM'de cihaz yeniden başlatmalarını izleyin ve nöbetçi personel ile servis sağlayıcıları için ikinci, bağımsız bir uzaktan erişim yolu oluşturun.
• S7-1500 ve ET 200SP web sunucularının ve HMI erişiminin envanterini çıkarın, gereksiz hizmetleri devre dışı bırakın ve kalan web erişimini güvenilir IP aralıklarıyla sınırlayın.
• Soğutma ve HVAC denetleyicilerini herkese açık internetten uzaklaştırın, yüklenici erişimini kişisel hesaplarla MFA korumalı bir ağ geçidinden geçirin ve sıcaklık alarmlarını denetleyiciden bağımsız olarak değerlendirin.
• Yamalamayı sömürme durumu ve dışarıdan erişilebilirliğe göre önceliklendirin, KEV listesindeki öğelerden başlayın ve en az bir çevrimdışı veya değiştirilemez yedek kopyası bulundurun.

Neden önemli

Bir KEV kaydı, bu açıkları rutin güncelleme kuyruğu öğelerinden acil, son tarih odaklı yamalama önceliklerine dönüştürür; çünkü saha içinde aktif sömürüyü sertifikalandırır. PHP2Shell'in Siemens, Schneider, B&R, HMS ve Belden ekipmanlarına uzanması, etki yarıçapının geleneksel web sunucularının çok ötesine, tesisleri ayakta tutan denetleyicilere, lisans altyapısına ve uzaktan erişim uç cihazlarına kadar genişlediği anlamına geliyor. Bakım için operatörlerin kullandığı SSL-VPN cihazlarını eş zamanlı çökerten ayrı bir zero-day ile hem uç noktalar hem de onlara giden erişim kanalları aynı anda baskı altında. NetModule'da olduğu gibi üreticinin henüz yaması olmadığı yerlerde telafi edici kontroller tek savunma; bu da varlık envanteri ve maruziyet haritalamasını bu haftanın pratik ilk adımı yapıyor.