Güncel OT.

Wiz, Storm-0940 faaliyetleriyle örtüşen bir aktörün ARTEX adlı yapay zekâ destekli sızma testi aracını birden fazla BT ve yazılım tedarikçisine karşı kullandığını bildirdi. Girişimler Okta, Entra ve Cognito kimlik hizmetleri ile Microsoft 365 entegrasyonlarına odaklanıyor; araştırmacılar API keşfi ve başka müşterilerin verilerine erişme denemeleri gözledi. Girişimlerin çoğu başarısız oldu. Rapor, tedarikçilerin kimlik ve müşteri ayrımı kontrollerini ilgilendiriyor; bir OT kontrol sisteminin ele geçirildiğini göstermiyor.

FBI, CISA ve ortaklarının uyarısına göre SafePay, Ağustos 2024'ten bu yana işletmeleri ve farklı kritik altyapı sektörlerini hedef alarak en az 600 kurbanı etkiledi. İlk erişimde çalınan veya tahmin edilen parolalar, VPN hesapları ve bilinen açıklar kullanılıyor. Grup, verileri çalıp şifrelemenin yanında kurtarmayı engellemek için gölge kopya hizmetini durduruyor ve yedeklerin bulunduğu NAS cihazlarını fabrika ayarına döndürüyor. Uyarı, dışa açık sistemlerin yamalarını, MFA'yı ve çevrimdışı yedekleri öne çıkarıyor.

Symantec, iki NATO ülkesinde bir askerî gemi üreticisini, uçak motoru üreticisini ve kolluk kurumunu hedef alan APT28 casusluk faaliyetlerini açıkladı. Tersanede e-posta ekiyle başlayan ihlalde kimlik bilgileri çalındı ve kurumun iç ağına uzanan kalıcı bir tünel açıldı. Araştırmacılar en az iki aya yayılan izler buldu. Bulgular savunma üreticilerinin kurumsal ağlarındaki casusluğu anlatıyor; üretim kontrol sistemlerinin veya gemi sistemlerinin etkilendiğine dair kanıt sunmuyor.

Siemens, Software Center'daki DLL yükleme açığının aktif saldırılarda kullanıldığını doğruladı. Saldırganlar, özgün ve geçerli imzalı programın yanına kendi DLL dosyalarını koydu; program açıldığında bu dosyalar çalıştı. Siemens'in açıklamasına göre şirketin sistemleri veya güncelleme kanalları ihlal edilmedi. Açık 4.0.9.8 sürümünde kapatıldı; mevcut kurulumlar bir sonraki açılışta güncelleniyor. İncelemede yalnız programın imzasına güvenmek yerine yüklediği dosyalara ve çalıştığı klasöre de bakmak gerekiyor.

BeyondTrust, Remote Support'taki CVE-2026-102764 açığının bir casusluk aktörü tarafından kullanıldığını doğruladı. Üretici, 16 Ekim açıklamasında iki müşterinin etkilendiğini bildirdi. SaaS ortamlarına yama uygulanmış durumda; otomatik güncelleme kullanmayan yerel kurulumların BT26-05 yamasını uygulaması gerekiyor. 24.3.1'den eski sürümler önce yükseltilmeli. Uzaktan desteğin tesis ağına eriştiği ortamlarda, bu platformun güvenliği bakım bağlantısının güvenliğini de belirliyor.

Team82, daha önce açıkladığı Danfoss AK-SM 800A açıklarını bir yapay zekâ kodlama ajanıyla yeniden üretti. Kamuya açık firmware ve CVE bilgileriyle başlayan çalışma, yaklaşık 28 dakika ve 6 dolarlık kullanım bedeliyle laboratuvar cihazında root yetkisine ulaştı. Araştırmacı, ajanın hatalı analizini düzeltti ve araçlarla yön verdi. Sonuç, bilinen açıkların ne kadar hızlı yeniden üretilebildiğini gösteriyor; Fransa'daki saldırıların bu yöntemle yapıldığını ortaya koymuyor.

Fransa'daki saldırılarda marketlerin soğutma ayarları değiştirildi, ürünler bozuldu. CERT-FR, Danfoss AK-SM ve AK-SC ile Copeland/Dixell XWEB sistemlerinde çok sayıda ihlal bildirdi; basına göre yalnız Intermarché ve Netto'da yaklaşık 300 mağaza etkilendi. İlk erişimin nasıl sağlandığı ve hangi açıkların kullanıldığı kesinleşmiş değil. Kurum, yönetim arayüzlerinin internetten kaldırılmasını, defrost programları dahil bütün yapılandırmanın kontrolünü ve uzaktan bakımın korumalı bir bağlantıyla yeniden kurulmasını istiyor.

ABD Adalet Bakanlığı ve FBI, Integrity Technology Group bağlantılı Microscan ve FishHub araçlarının kullandığı yedi alan adına el koydu. Mahkeme belgelerine göre Mirai türevi bir botnet ile desteklenen taramalar; ABD'de bir elektrik şirketini, Japonya ve Polonya'daki havalimanlarını, Tayvan'daki gaz ve elektrik şirketlerini de hedef aldı. Bu kuruluşların taranması, her birinin ele geçirildiği anlamına gelmiyor. Aynı gün yayımlanan ortak uyarı, otomatik tarama ile elle yürütülen saldırıların nasıl birleştirildiğini anlatıyor.

Modat ve Hollanda ulusal siber güvenlik merkezi NCSC-NL araştırmacıları, 35 ülkede internetten erişilebilir 8.547 sistem tespit etti (7.942 güneş, 605 rüzgâr). Çoğu giriş/yönetim sayfası; yaklaşık 181 sahada tam kontrolün mümkün olabileceği araştırmacı tahmini. Fiili saldırı bildirilmedi; sayılar muhafazakâr. Türkiye'deki GES/RES işletmecileri için doğrudan ilgili.

CISA uyarısı (ICSA-26-279-06), EOL ilan edilmiş RTU500 CMU firmware'inde altı açık listeliyor; biri on altı yıllık VxWorks hata ayıklama servisi (CVE-2010-2965, UDP 17185). Çözüm eski sürüme yama değil, büyük sürüm atlaması. OT cihaz ömrü ile yama döngüsü arasındaki uçurumun örneği.

NSA, CISA, FBI, Enerji Bakanlığı ve EPA, internete açık S7 PLC'lerin Censys/ZoomEye ile aranıp S7comm üzerinden okunduğunu, yazma işlemleri için hazırlık yapıldığını bildirdi. Yeni açık değil; bilinen açıklar, zayıf parola ve gereksiz internet erişimi. Yapay zekâ ile üretilmiş betiklere ilk resmî atıflardan biri.