Copeland XWEB EVO soğutma kontrolcülerinde 14 açık: kimliksiz root komut çalıştırma mümkün, son sürüm için patch yok
VulnCheck, Dixell/Copeland XWEB EVO kontrolcülerinde 14 CVE yayımladı; dördü CVSS 9.8 ya da 9.1. Bir kısmı 5.6.2 ve 5.7.0 sürümlerinde kapanmış olsa da son sürüm 5.8.8'i etkileyen açıklar için düzeltme yok, çünkü ürün Mart 2026'da destek sonuna ulaştı.
CVE-2026-124002, CVE-2026-124003, CVE-2026-124004
Market, soğuk depo ve gıda zincirlerinde kullanılan Dixell/Copeland XWEB EVO soğutma kontrolcüleri için 12 Kasım akşamı NVD'ye 14 yeni CVE düştü. Kayıtları açan VulnCheck'e göre açıkların dördü kritik: oturum açma ekranının kullanıcı adı alanından ve xwconsole.cgi üzerinden kimlik doğrulama gerektirmeden root yetkisiyle komut çalıştırma (CVE-2026-124002, CVE-2026-124010; CVSS 9.8), yerleşik Administrator hesabına hardcoded backdoor parola ile tam erişim (CVE-2026-124004; 9.8) ve sistem yapılandırma dosyasının kimliksiz değiştirilmesi (CVE-2026-124014; 9.1). Diğerleri arasında yalnızca MAC adresi ve tarihten türetilebilen günlük yönetici ve root parolaları ile oturum açmış kullanıcıların root komutu çalıştırabildiği command injection açıkları var.
Asıl sorun düzeltme tarafında. NVD kayıtları, ürün hattının Mart 2026'da destek sonuna (end of service) ulaştığını belirtiyor. Açıkların bir bölümü eski sürümleri etkiliyor ve 5.6.2 ile 5.7.0'da kapanmış; ancak son sürüm 5.8.8'e kadar uzanan açıklar için yeni bir sürüm yok. Şu an için sahada istismar bildirimi ya da KEV kaydı bulunmuyor. Yine de bu cihaz sınıfının saldırganların hedefinde olduğu biliniyor: geçen hafta FBI ve CISA soğutma sistemlerine yönelik saldırılar için uyarı yayımlamıştı, 9 Kasım'da da ele geçirilen XWEB kontrolcülerinin spam ve proxy trafiği için kullanıldığı bildirilmişti.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| XWEB EVO: CVE-2026-124002 (kimliksiz komut çalıştırma, kullanıcı adı alanı) | 5.2.3 ile 5.7.0 öncesi | 5.7.0 |
| XWEB EVO: CVE-2026-124003, -124004, -124007, -124010 | 5.6.2 öncesi | 5.6.2 |
| XWEB EVO: CVE-2026-124005, -124006, -124014 | 5.8.8'e kadar (124005 ve 124014 için 4.3.0'dan itibaren) | Yok (ürün destek dışı) |
| XWEB EVO: CVE-2026-124008, -124009 | 5.2.3 ile 5.8.8 arası | Yok (ürün destek dışı) |
| XWEB EVO: CVE-2026-124011, -124012, -124013, -124015 | 5.6.2 ile 5.8.8 arası | Yok (ürün destek dışı) |
Sürüm aralıkları NVD kayıtlarından alınmıştır. Yazılım indirmeleri için Copeland'ın Dixell System Software Update sayfasına, destek sonu ayrıntıları için yukarıdaki ürün bültenine bakılmalıdır.
Beni etkiliyor mu?
- Envanterinizde Dixell ya da Copeland markalı XWEB EVO kontrolcüsü olup olmadığını tesis ve bakım ekipleriyle (soğutma servis firması dahil) birlikte kontrol edin. XWEB Pro ve diğer XWEB modelleri bu kayıtların kapsamında değil.
- Cihazın web arayüzünde sistem bilgisi sayfasından kurulu sürümü not edin. 5.8.8 dahil hiçbir XWEB EVO sürümü tüm açıklardan arınmış değil.
- Cihazın web arayüzünün internetten ya da misafir ve kurumsal ağlardan erişilebilir olup olmadığını firewall kurallarınızdan ve dış yüzey taramalarınızdan doğrulayın. Kimliksiz açıklar en çok bu durumda risk yaratır.
Ne yapılmalı?
- Cihazı internetten kesin. Web arayüzü doğrudan internete açıksa bu erişim kapatılmalı; uzaktan servis gerekiyorsa yalnızca MFA'lı VPN ya da kayıtlı bir remote access çözümü üzerinden verilmeli.
- Güncelleme yapılabilenleri güncelleyin. 5.6.2 öncesi sürümler en ağır kimliksiz açıklara açık; en azından 5.7.0 ya da üzeri yayımlanmış son sürüme geçmek riski azaltır. Bu, 5.8.8'e kadar uzanan açıkları kapatmaz.
- Değişim planı yapın. Ürün destek dışı olduğu için kalıcı çözüm, üreticinin önerdiği güncel bir platforma geçmek. Bu kararı soğutma servis sağlayıcınızla ve change management sürecinizle birlikte planlayın.
- Ağda izole edin. Kontrolcüyü ayrı bir OT segmentine alın; yalnızca gereken yönetim istasyonlarından erişime izin verin ve bu segmentten dışarıya giden trafiği sınırlayın. Spam ya da proxy davranışına benzeyen beklenmeyen giden bağlantılar ele geçirilme işareti olabilir.
- Parolalara güvenmeyin. Günlük parolalar ve hardcoded hesap kullanıcı tarafından değiştirilemediği için parola değiştirmek tek başına yeterli önlem değildir; ağ erişimini kısıtlamak öncelikli olmalı.
- İzleyin. Cihazın sıcaklık ayarlarında, alarm eşiklerinde ve defrost döngülerinde beklenmeyen değişiklikleri raporlayın; şüpheli bir durumda cihazı ağdan ayırıp servis firmasıyla inceleyin.
