Rockwell Automation, Arena Simulation Yazılımındaki Kritik Kod Yürütme Açıklarını Kapattı

Endüstriyel operasyonları modellemek ve test etmek için kullanılan Arena Simulation yazılımında, saldırganların sistem üzerinde keyfi kod yürütmesine imkan tanıyan dört kritik güvenlik açığı tespit edildi. CVE-2026-8085, CVE-2026-8312, CVE-2026-8313 ve CVE-2026-8314 olarak kodlanan bu zafiyetler, kullanıcı tarafından sağlanan verilerin hatalı doğrulanmasından kaynaklanan bellek bozulması sorunlarına dayanıyor.

Söz konusu açıklar, 17.00.00 ve önceki sürümleri etkiliyor. Araştırmacı Michael Heinzl tarafından keşfedilen bu zafiyetlerin sömürülebilmesi için saldırganın, hedefteki kullanıcıyı özel olarak hazırlanmış bir Arena model veya deney dosyası açmaya ikna etmesi gerekiyor. Yazılımın savunma sanayii, hastaneler ve küresel tedarik zinciri şirketleri gibi geniş bir yelpazede kullanılması, bu açıkları ciddi bir güvenlik riski haline getiriyor.

Rockwell Automation, bu zafiyetleri gidermek için 17.00.01 sürümünü yayınladı. CISA ve şirket tarafından yapılan açıklamalarda, şu an için bu açıkların gerçek dünya saldırılarında kullanıldığına dair herhangi bir kanıt bulunmadığı belirtildi. Araştırmacı Heinzl, aslında yazılımın farklı bileşenlerinde toplam 17 ayrı zafiyet tespit ettiğini, ancak şirketin bunları gruplandırarak dört ana CVE kodu altında topladığını ifade etti.