Siemens'te PHP2Shell ve Node2Shell: beş ICS bülteni, Spectrum Power ve AMIS TS dahil birçok üründe henüz patch yok
CISA, 12 Kasım'da Siemens için beş ICS bülteni yayımladı. KEV'de yer alan PHP2Shell (CVE-2026-109618, CVE-2026-109619) ve Node2Shell (CVE-2026-111497) açıkları enerji, bina otomasyonu ve endüstriyel edge ürünlerine yansıyor; bir bölümünde düzeltme henüz yok.
CVE-2026-109618, CVE-2026-109619, CVE-2026-111497
CISA, 12 Kasım 2026'da Siemens ProductCERT bildirimlerine dayanan beş ICS bülteni yayımladı. Bültenler yeni bir açığı değil, ekimde duyurulan iki kütüphane açığının Siemens ürünlerindeki karşılığını anlatıyor: PHP çalışma zamanındaki PHP2Shell (CVE-2026-109618 ve CVE-2026-109619) ile Brotli çözücüsündeki Node2Shell (CVE-2026-111497). Bültenlerde CVSS v3 puanı 9,8 olarak veriliyor; açıklar kimlik doğrulaması gerektirmeden uzaktan kod çalıştırmaya kadar gidebiliyor.
Üç CVE de CISA KEV kataloğunda yer alıyor. PHP2Shell'in PAN-OS yönetim arayüzlerine karşı kullanıldığını ve Check Point gateway'lerine yönelik saldırı zincirinde geçtiğini daha önce yazmıştık. Siemens bültenlerinde Siemens ürünlerine yönelik bir istismar beyanı bulunmuyor. Üretici değerlendirmenin sürdüğünü, bulguların değişebileceğini belirtiyor.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| AMIS TS (PHP2Shell) | Tüm sürümler | Düzeltme henüz yok |
| blueplanet 360 NX3 M6 WM OD IISX ve IISX - S (PHP2Shell) | Tüm sürümler | Düzeltme henüz yok |
| Energy Engage V2.0SP9 (PHP2Shell) | Tüm sürümler | Düzeltme planlanmıyor |
| Energy Engage V3.1SP1 (PHP2Shell) | Tüm sürümler | PHP V8.1.34 release 6 |
| Local Monitoring bt-monitoring-vm (PHP2Shell) | V20261103 öncesi | V20261103 ve sonrası |
| Spectrum Power 4 (Nagios ya da Zabbix; Web Office Portal V3.0, V3.1, V3.2; HISViews V1.0) | Tüm sürümler | Düzeltme henüz yok |
| Spectrum Power 7, IHM (NagiosXI) kullanan kurulumlar | Tüm sürümler | Red Hat'in RHEL 8 ve 9 için PHP güvenlik patch'i |
| Spectrum Power TG (Windows, WebConsole ve WebQuery) | Tüm sürümler | PHP V8.5.12 |
| Desigo CC ailesi V8 ve V9 (Node2Shell) | Tüm sürümler | Windows Update üzerinden en güncel .NET güvenlik güncellemeleri |
| Gridscale X DSA (Node2Shell) | V5.3 ve üzeri, V5.4 öncesi | V5.4 ve sonrası |
| Gridscale X PSS®E (Node2Shell) | V36.8.0 öncesi | V36.8.0 ve sonrası |
| Industrial Edge: Cloud Connector Configurator | V1.24.3 öncesi | V1.24.3 |
| Industrial Edge: Data Flow Monitoring | V3.0.18 öncesi | V3.0.18 |
| Industrial Edge: Databus Configurator | V4.0.1 öncesi | V4.0.1 |
| Industrial Edge: DataXess Configurator | V1.5.7 öncesi | V1.5.7 |
| Industrial Edge: Edge OPC UA Server Configurator | V2.3.10 öncesi | V2.3.10 |
| Industrial Edge: Flow Creator Configurator | V1.15.1 öncesi | V1.15.1 |
| Industrial Edge: Common Configurator (CC on IEM, CC on Edge) | Tüm sürümler | Düzeltme henüz yok |
| RUGGEDCOM APE1808, PAN-OS ile (10.2, 11.1, 11.2, 12.1, 12.2) | Tüm sürümler | İlgili PAN-OS sürümüne upgrade; ayrıntı için Siemens müşteri desteği |
Industrial Edge Hub ve Industrial Edge Management Cloud tarafında düzeltme merkezi bulut hizmetine 28 ve 29 Ekim'de uygulandı; kullanıcı işlemi gerekmiyor. Spectrum Power 3 bültende yalnızca CVE-2026-109619 için listeleniyor. Liste üretici değerlendirmesiyle güncellenebilir; güncel durum için yukarıdaki CISA bültenlerine ve Siemens ProductCERT sayfasına bakın.
Beni etkiliyor mu?
- Envanterinizde tablodaki ürünlerden biri varsa etkilenmiş sayın; birçok satırda "tüm sürümler" yazıyor.
- Industrial Edge Management kurulumunda Management Application yüklü değilse Siemens işlem gerekmediğini söylüyor: Brotli kütüphanesi yığında var, ancak etkilenen işlev kullanılmıyor.
- Spectrum Power 7 gibi RHEL üzerinde çalışan bileşenlerde kurulu PHP paketini, Desigo CC sunucularında son yüklenen güncellemeleri salt okunur komutlarla görebilirsiniz:
rpm -q phpGet-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 10- RUGGEDCOM APE1808 üzerinde PAN-OS çalışıyorsa sürümü arayüzde Dashboard › General Information bölümünden kontrol edin.
Ne yapılmalı?
- Düzeltmesi olan ürünlerde tablodaki sürüme geçin: Industrial Edge uygulamaları, Gridscale X, bt-monitoring-vm, Energy Engage V3.1SP1 ve Spectrum Power TG için PHP güncellemesi, Desigo CC için .NET güvenlik güncellemeleri.
- Düzeltmesi olmayan ürünlerde (AMIS TS, blueplanet 360, Spectrum Power 4, Energy Engage V2.0SP9) web arayüzlerine ağ erişimini yalnızca yönetim ağıyla sınırlayın; bu sistemler internetten erişilebilir olmamalı.
- Industrial Edge'de Common Configurator için Siemens'in geçici önlemi: düzeltme gelene kadar Management Application'ların kaldırılması, IEM örneğinin firewall ya da WAF arkasına alınması ve cihazdaki Common Configurator'ın durdurulması.
- RUGGEDCOM APE1808 için Palo Alto Networks'ün PHP2Shell ve Node2Shell bildirimlerindeki workaround'ları uygulayın, uygun PAN-OS sürümü için Siemens desteğiyle iletişime geçin.
- OT ortamında değişiklikler bakım penceresi ve change management süreciyle yapılır; patch öncesi yedek alın, üreticinin belgelediği güncelleme prosedürünü izleyin.
- Etkilenen web bileşenlerinin erişim loglarında beklenmeyen kaynaklardan gelen istekleri ve sunucuda beklenmeyen süreçleri izleyin.
Türkiye bağlamı
Siber Güvenlik Başkanlığı, PHP2Shell için ekimde ulusal uyarı yayımlamıştı. CISA bültenleri etkilenen ürünlerin dünya genelinde, enerji ve kritik üretim sektörlerinde kullanıldığını belirtiyor.
Kaynaklar
- CISA — ICSA-26-316-01, Siemens Building Automation and Energy Products
- CISA — ICSA-26-316-02, Siemens Desigo, Gridscale
- CISA — ICSA-26-316-03, Siemens Industrial Edge Management
- CISA — ICSA-26-316-04, Siemens RUGGEDCOM APE1808 (Node2Shell)
- CISA — ICSA-26-316-05, Siemens RUGGEDCOM APE1808 (PHP2Shell)
- CISA — Known Exploited Vulnerabilities Catalog
