ZoomEye, Siemens PLC danışma belgesi AA26-231A'nın ardından 102 numaralı portta çalışan 161.764 servisi saydı

Ağustos 2026'da yayımlanan Ortak Siber Güvenlik Danışma Belgesi AA26-231A, tehdit aktörlerinin interneti tarayarak açıkta kalan Siemens S7 programlanabilir mantık denetleyicilerini (PLC) bulmak için geniş kapsamlı taramalar kullandığı konusunda uyarmıştı; ancak açıkta kalan bu nüfusun ne kadar büyük olabileceğini hiç belirtmemişti. dev.to'da yayımlanan bir ölçüm artık sayıları ortaya koyuyor: 16 Eylül 2026'da arama motoru ZoomEye, TCP 102 portuna erişilebilen 161.764 varlığı indekslemişti — bu port, danışma belgesinde adı geçen S7comm protokolüne bağlıdır — ve daha dar, ürüne özgü sorgulamalarda çok daha küçük rakamlar ortaya çıkmıştı.

Danışma belgesi neyi anlatıyordu

dev.to'daki yazıya göre danışma belgesi 19 Ağustos 2026'da NSA, CISA, FBI, Enerji Bakanlığı ve Çevre Koruma Ajansı tarafından yayımlandı. Belge, internete açıkta kalan veya zayıf biçimde korunmuş ve güncel olmayan yazılım çalıştıran PLC'leri tespit eden aktörleri, ardından açık kaynak snap7.dll ve python-snap7 kütüphaneleri üzerine kurulu ve sıradan izleme araçları gibi gizlenmiş yapay zekâ ile üretilmiş betikleri kullanarak S7comm üzerinden — genellikle TCP 102 portunda — PLC belleğini, yapılandırma verilerini ve merdiven mantığını okuyup yazan aktörleri tanımlıyor.

S7-200, S7-300, S7-400, S7-1200 ve S7-1500 aileleri, F-serisi güvenlik denetleyicileri dahil adlandırılıyor. Dikkat çekici biçimde, danışma belgesi hiçbir CVE tanımlayıcısı ve hiçbir güvenlik ihlali göstergesi içermiyor; tek bir ortak açıktan ziyade bilinen zayıflıklara ve yanlış yapılandırmalara genel olarak işaret ediyor.

Yüzeyi sorgu sorgu ölçmek

dev.to yazarı 16 Eylül 2026'da ZoomEye'yi dört farklı özgünlük düzeyinde sorguladı ve sonuçlar farklı şeyleri ölçüyor:

• 173 varlık en dar parmak iziyle, app="Siemens S7", eşleşti.
• 10.160 varlık, daha geniş bir ürün ailesini kapsayan app="Siemens SIMATIC" parmak iziyle eşleşti.
• 161.764 varlıkta 102 portuna erişilebiliyordu.
• 95.395 varlık yalnızca Siemens değil, tüm üreticiler arasında PLC olarak sınıflandırıldı.

Makale, herhangi bir rakamı kapsamı olmadan sunmanın yanıltıcı olacağı görüşünde. 102 portu S7comm ile ilişkilidir, ancak o portta yanıt veren bir şey başka bir servis veya başka bir üreticinin ekipmanı olabilir; erişilebilirlik tek başına bir aygıtın gerçekten savunmasız olup olmadığı konusunda hiçbir şey söylemez.

Sayıların neden ayrıştığı

Analize göre 173 ile 161.764 arasındaki fark bir çelişki değil. Ürün parmak izi, tarayıcının belirli aygıt özelliklerini tanımasını gerektirir; bir port sorgusu yalnızca bir şeyin yanıt vermesini gerektirir. İlki bir ürün nüfusunu, ikincisi bir protokol yüzeyini tanımlar.

Danışma belgesinin kendi çerçevesi de daha geniş okumayı destekliyor: hedeflemenin Siemens aygıtlarının ötesine uzandığını ve tüm PLC operatörlerinin önlemleri uygulaması gerektiğini belirtiyor — bu tutum, tüm üreticileri kapsayan 95.395'lik PLC sınıflandırmasıyla tutarlı.

Asıl risk açıkta olmaktır

Danışma belgesinin merkezî iddiası, aktörlerin hedefleri internet taramasıyla bulduğudur; bu da dışa dönük açıklığı kilit risk faktörü ve açıklığın azaltılmasını birincil önlem yapar — internetten erişilemeyen bir denetleyici, bir internet tarayıcısı tarafından bulunamaz. Belgede yetkisiz erişimin sonuçları arasında endüstriyel süreçlerin kesintiye uğraması, güvenlik olayları, ekipman hasarı, verinin ele geçirilmesi, zincirleme etkiler ve uyumluluk ihlalleri sayılıyor.

Siemens, SSB-104599 danışma belgesi kapsamında ProductCRT üzerinden firmware güncellemeleri sunarken, aynı anda AA26-231A'nın S7 serisinde yeni bir güvenlik açığını tanımlamadığını belirtiyor. dev.to makalesi iki konumu uyumlu görüyor: belge, bilinen zayıflıkların ve yanlış yapılandırmaların istismar edilmesini kapsıyor; dolayısıyla önerilen yanıt katmanlıdır — açıklığı daraltın, firmware'i yamalayın, kimlik doğrulamayı sağlamlaştırın ve anormal S7comm etkinliğine karşı uyanık olun.

Verileri sorumlu biçimde kullanmak

Makale, varlık sahiplerine dış tarama verilerini birincil kaynak değil, çapraz kontrol olarak değerlendirmeyi öneriyor. Kuruluşun kendi adres aralığını dar Siemens S7 parmak iziyle sorgulamak, denetleyicilerinden kaçının erişilebilir olduğunu yanıtlar; aynı aralık üzerinde bir 102 port sorgusu, beklenmedik hiçbir şeyin yanıt vermediğini doğrular. Her durumda, taramalar kuruluşun gerçekten kontrol ettiği adres alanı içinde kalmalıdır.

Neden önemli

En dar ve en gevşek sorgu arasındaki neredeyse bin katlık fark, ölçüm disiplinine dair bir derstir: önemli olan sayı, tamamen sorulan soruya bağlıdır. Sayıların hiçbiri savunmasız veya ele geçirilmiş aygıtların dökümü değil — bunlar ZoomEye'nin toplama anında indekslediği şeyler. Yine de, AA26-231A'nın ardındaki ölçek hakkında ilk kamusal hissi veriyorlar ve belgenin temel noktasının altını çiziyorlar: açık kaynak S7comm kütüphaneleri ve ucuz taramayla açıkta kalan denetleyiciler bulunabilir; bu yüzden en sağlam savunma hiç bulunmamaktır.