Hollandalı güvenlik firması Midnight Blue, Avrupa market saldırılarında kullanılan Danfoss AK-SM800A soğutma denetleyicilerinin en yeni yazılımında bir saatten kısa elle incelemeyle altı kimlik doğrulaması öncesi uzaktan kod çalıştırma sıfır-günü buldu — beşi aynı kod bölümünde yığın taşması, altıncısı 'sıkı oturum kontrolü' açıkken bile sömürülebilir durumda. Belçika ve Almanya siber güvenlik kurumları acil uyarı yayımladı: yalnızca 12 Kasım'daki 5.4.0 sürümü güvenli sayılıyor ve uzmanların asıl tavsiyesi cihazları İnternet'ten tamamen koparmak. Araştırmacılar, kalıcı yerleştirme fabrika ayarına dönmeyi ve yazılım güncellemesini atlatan implantlar kurabileceği uyarısı yapıyor.
Ekim ayında Fransa ve Avrupa’daki marketlerin soğutma sistemlerini hedefleyen ve gıdaları milyonlarca avro değerinde çürüten saldırı dalgasının konusu olan denetleyicilerde yeni bir güvenlik depremi: Midnight Blue araştırmacısı Carlo Meijer, Danfoss AK-SM800A’nın araştırma anındaki en yeni yazılımı 5.3.2’yi bir saatten kısa süren elle inceleyerek — şirket notunda vurgulandığı gibi yapay zekâ kullanmadan — altı kimlik doğrulaması ÖNCESİ uzaktan kod çalıştırma (pre-auth RCE) sıfır-günü buldu. Bunların beşi, kimlik doğrulamadan hizmet veren işleyicilerdeki aynı küçük kod bölümünde yığınsal tampon taşması; altıncısı, WAF gibi davranan oturum kontrol bileşeni sm_fcgi_app’te — yani cihazların ‘sıkı oturum kontrolü’ açıkken bile ele geçirilebileceği anlamına geliyor.
Kök nedenler tablosu çarpıcı: doğrulama gerektirmeyen işleyicilerde yüzlerce güvensiz ‘strcpy’ çağrısı; yığın kanarya koruması ve PIE yok; web uygulaması özel Danux (Yocto) Linux’unda kök yetkilerle çalışıyor; yonganın güvenli önyükleme özelliği kullanılmıyor. Sonuç, cihazı fiziksel erişim olmadan tamamen devralabilen bir saldırgan: çözülme döngüleri başlatıp eylemlerini sistem kayıtlarından gizleyebilir, fabrika ayarına dönüşü ve yazılım güncellemesini atlatan kalıcı implant kurabilir — araştırmacılara göre implant tespiti derin adli inceleme olmadan olanaksız. CVE numaraları henüz atanmadı; koordineli açıklama sürdüğü için somut istismar ayrıntıları paylaşılmadı.
Resmî tepki iki ülkeden geldi. Belçika Siber Güvenlik Merkezi (CCB) acil uyarıyla doğrudan İnternet’e açık denetleyicilerin derhal kaldırılmasını istedi: yazılım güncellemesi, varsayılan parola değişimi ve sıkı oturum kontrolü tek başına yeterli değil — çünkü oturum mekanizmasının kendisi de kırık. Almanya’nın BSI kurumu, 12 Kasım 2026 tarihli 5.4.0 sürümünden önceki her şeyi etkilenmiş sayıyor ve başarılı bir saldırının cihazları ‘elle onarım ya da değişim gerektirecek biçimde kullanılamaz’ hale getirebileceği uyarısı yapıyor; yeni yamaların daha fazla açık ortaya çıkmayacağının garantisi olmadığını da ekliyor.
Midnight Blue’nun önerisi sert: parçalı yamalamaya ve sıkı oturum kontrolüne kaynak ayırmak ‘yanlış kaynak kullanımı’ — cihaz yönetim arabirimlerine yalnızca VPN, özel APN ya da çok dar güvenlik duvarı beyaz listesiyle erişilmeli; Danfoss’un yanı sıra Copeland ve Dixell denetleyicileri ve benzeri tüm cihazlar için de aynı tavsiye geçerli. Fransa’nın Ekim dalgasını İran’a bağlı Şahid Kaveh birimine atfetmesi (resmî Fransız attribution’u) tabloyu jeopolitik katmana taşıyor; yeni açıklar bu ailenin yamalanmış sayıldığı dönemde bile temel kod kalitesinin sorunlu olduğunu gösteriyor. İzlenecek kapılar: CVE atamaları, Danfoss’un koordineli açıklama yanıtı ve İnternet’e açık yüzeyin ne kadar hızla daraltıldığı.