Modicon M580'te CVSS 9.2: Kimlik Doğrulama Atlatma, Firmware 4.10 ile Kapandı
Schneider Electric'in Modicon M580/M580 Safety için Eylül 2026'da yayımladığı CVE-2026-3869 yamasını inceliyorum: CVSS 9.2 kimlik doğrulama atlatması, SEVD-2026-251-04, yamalı firmware ve yama penceresine kadar geçici önlemler.
Eylül 2026 ICS Patch Tuesday’sinde otomasyon mühendislerinin masasına CVSS 9.2’lik bir yama düştü: CVE-2026-3869, Modicon M580 ve M580 Safety PLC’lerde kimlik doğrulama algoritmasının yanlış uygulanmasından kaynaklanan bir atlatma açığı. Düşük uygulama seviyesinde (low application level) bir proje çalışıyorken, yetkisiz erişim kontrolörün gizlilik, bütünlük ve erişilebilirliğini tehdit edebiliyor. Schneider Electric, güvenlik bülteni SEVD-2026-251-04 ile yamayı yayımladı.
Yamanın somut hali
Bültende önerilen hedef sürümler net:
- Modicon M580 — Firmware 4.10 ve üzeri; uygulama projesi seviyesi 4.00.
- Modicon M580 Safety — Firmware 4.21 ve üzeri; uygulama seviyesi 4.20.
- Yazılım — M580 için EcoStruxure Control Expert V15.2 veya üzeri; M580 Safety için V16.0 HF001 veya üzeri.
Yani yama sadece firmware değil: uygulama projesinin seviyesi ve mühendislik istasyonundaki Control Expert sürümü de zincirin parçası. Control Expert V15.1’de kalmış bir projede firmware 4.10’a çıksa bile uygulama seviyesi uyumsuz kalabilir — bu yüzden üç sürüm birlikte okunmalı.
Yama penceresine kadar ne yapılır?
M580’ün tipik çalıştığı yer — proses hattı, arıza durdurma maliyeti yüksek — çoğu zaman “perşembe gecesi firmware atla” denilen bir yer değildir. Değişim yönetimi (change management) kuralları, yama penceresini haftalar sonraya itebilir. Bu aralıkta önerilen geçici önlemler:
- Yönetim arayüzünü izole et — M580’ün yönetim (management) portu, güvenilmeyen ağa açık olmamalı; gerekirse yönetim trafiği ayrı bir segmente çekilmeli.
- Ulaşılmazlığı daralt — Kontrolöre erişim, sadece mühendislik istasyonu ve izleme katmanından yapılmalı.
- Yama penceresini takvime yazdır — Firmware 4.10/4.21 hedefi, bir sonraki planlı duruşa bağlanmalı.
Neden önemli
M580, Türkiye dahil birçok tesiste 2015 sonrası proses otomasyonunun omurgası. CVSS 9.2, “teorik risk” kategorisinde değil: kimlik doğrulama atlatması, kontrolöre yetkisiz erişimin ön koşulunu ortadan kaldırıyor. SEVD-2026-251-04 bülteni, yamalı sürüm tablosunu ve etkilenen versiyon aralığını içeriyor — envanterdeki M580’lerin firmware seviyesi, bu tabloyla karşılaştırılmalı.