- Yama var
- Son 7 gün
- CWE-22
CVE-2026-110935
PLCnext Engineer eklenti dağıtımında dizin geçişi (path traversal) açığı
- Yayımlandı
- Güncellendi
- 4 Kas 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- CERTVDE
Yönetici özeti
Bu açık, PLCnext Engineer kullanan sistemlerde yetkisiz kişilerin kritik dosyaları değiştirmesine ve sistemin tamamen ele geçirilmesine yol açabilir. Endüstriyel kontrol ortamlarında bu, üretim kesintisi ve güvenlik riski anlamına gelir. Üretici tarafından sağlanan güncellemenin hızla uygulanması önerilir.
ÖzetTürkçe
PFI eklenti çerçevesinin dağıtım rutini, arşiv girdilerini yerel eklenti deposuna çıkarırken dosya yolu bileşenlerini doğrulamıyor. '..' gibi göreli yol parçaları içeren arşiv girdileri reddedilmediği için, yerel erişimi olan kimliği doğrulanmamış bir saldırgan dosyaları eklenti deposunun dışına yazabiliyor. Etkilenen ürün Phoenix Contact PLCnext Engineer, sürüm 2026.6 öncesidir.
Saldırgan ne yapabilir?
Saldırgan, geçerli kullanıcının yetkileriyle erişilebilen herhangi bir konuma dosya yazabilir; bu da tam sistem ele geçirilmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
The PFI plugin framework deployment routine does not validate path components when extracting archive entries to the local plugin repository. Archive entries containing relative path segments such as '..' are not rejected, allowing an unauthenticated local attacker to write files outside the plugin repository to arbitrary locations accessible with the current user's permissions which could result in full system compromise.
Ne yapmalı?
- Phoenix Contact PLCnext Engineer'ı 2026.6 veya sonrası bir sürüme güncelleyin. Üretici
- Güncelleme uygulanana kadar, yerel erişimi olan kullanıcı sayısını kısıtlayın ve eklenti dağıtımı yapılan sistemlere yalnızca güvenilir kişilerin erişmesini sağlayın. Genel öneri
- Güncelleme sonrasında sürümü doğrulayın ve eklenti dağıtım işlemlerinin beklendiği gibi çalıştığını kontrol edin. Genel öneri
Ek önlemler
- Eklenti deposu dışındaki dizinlerde beklenmeyen yeni veya değiştirilmiş dosyaları izleyin. Genel öneri
- Eklenti arşivlerini yalnızca güvenilir kaynaklardan alın ve dağıtımdan önce doğrulayın. Genel öneri
- Engineer çalıştıran hesaplara en az ayrıcalık ilkesini uygulayın. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Phoenix Contact PLCnext Engineer | ≥ 0.0, < 2026.6 | 2026.6 |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.