Danfoss Soğutucularda Gizli Günlük Şifre Skandalı
Güvenlik araştırmacıları, dünya çapında süpermarketlerde ve soğuk hava depolarında yaygın olarak kullanılan Danfoss soğutma yönetim sistemlerinde kritik güvenlik açıkları ortaya çıkardı. Sisteme gömülü, tarihe dayalı gizli bir arka kapı şifresi yöneticilerin belirlediği parolaları tamamen devre dışı bırakıyor.
Market dolaplarında tarihe göre üretilen gizli anahtar
Söz konusu donanım, gıda depoları ve zincir marketlerde sıcaklık dengesini sağlayan, buz çözme döngülerini yöneten ve acil durum alarmlarını tetikleyen endüstriyel kontrolcü Danfoss AK-SM 800A. Tesis yöneticileri operasyonu uzaktan izlemek istediği için bu cihazlar çoğu zaman doğrudan kamuya açık internete bağlanıyor.
Siber güvenlik firması Claroty bünyesindeki Team82, Censys arama motorunu kullanarak dünya genelinde 2.765 Danfoss ünitesinin hiçbir ek koruma olmadan internete açık olduğunu belirledi. Cihaz yazılımının derinliklerinde keşfedilen detay ise bir ihmali ortaya çıkardı: tarihe bağlı arka kapı.
CVE-2025-41450 koduyla kaydedilen açıkta, giriş kontrol mekanizması girilen şifreyi o günün takvim tarihinden matematiksel formülle üretilen bir metinle kıyaslıyor. Bu formülü tersine mühendislikle çözen araştırmacılar, yöneticinin belirlediği asıl şifreye ihtiyaç duymadan herhangi bir günün geçerli anahtarını üretebildi. Kurumsal altyapılarda kimlik denetiminin çökmesi, çalınan tek şifreyle 17 milyon öğrencinin verisi sızdırıldı haberinde gördüğümüz türden kitlesel risklere kapı aralıyor.
Danfoss AK-SM 800A teknik ve güvenlik detayları
| Özellik | Detay |
|---|---|
| Etkilenen cihaz | Danfoss AK-SM 800A |
| Kullanım amacı | Süpermarket ve soğuk depolama soğutma kontrolü |
| Açık kodları | CVE-2025-41450, CVE-2025-41451, CVE-2025-41452 |
| Açıkta bulunan ünite sayısı | Censys üzerinde 2.765 adet |
| Onarılan yazılım sürümü | R4.3.1 ve üzeri |
| Saldırı yöntemi | Halka açık web yönetim arayüzü (HTTP/Nginx) |
Uzaktan kod çalıştırma ve sistemi kilitleme riski
Giriş ekranını aşmak başlı başına ciddi bir risk oluştururken, Claroty erişim sağlandıktan sonra sistemin tamamen ele geçirilebildiğini gösterdi.
CVE-2025-41451 açığı, kontrolcünün e-posta bildirim ayarlarındaki giriş alanlarının filtrelenmemesinden kaynaklanıyor. Panele sızan bir saldırgan, e-posta şifre kutusuna doğrudan komut satırı kodları ekleyerek temel işletim sisteminde yetkisiz komut çalıştırabiliyor.
Üçüncü açık olan CVE-2025-41452 ise dahili Nginx web sunucusunu hedef alıyor. Yetkili konuma geçen saldırgan `headers.conf` yapılandırma dosyasını cihazı yeniden başlatmadan değiştirebiliyor. Kötü niyetli yönlendirmeler eklenerek arka plandaki `sm_app` süreci kilitlenebiliyor; bu durum marketteki tonlarca gıda bozulma riskiyle karşı karşıyayken teknisyenlerin sisteme müdahale etmesini engelliyor.
Teknisyen paneli unuttuğunda içeri girebilsin diye cihaz yazılımına algoritmik bir anahtar şifre gömmek, siber güvenlik açısından affedilemez bir tasarım hatası. İstemci tarafında çalışan hiçbir matematiksel formül gizli kalamaz. Bozulabilir gıda gibi kritik zincirleri yöneten donanımların doğrudan internete açık bırakılması ise ayrı bir ihmal.
Türkiye'de durum ne?
Danfoss, soğutma otomasyonu tarafında Türkiye'deki büyük market zincirleri, lojistik depoları ve et-süt işleme tesislerinde oldukça yaygın tercih edilen bir marka. Türkiye'deki tesislerin bu kontrolcüleri doğrudan statik IP üzerinden internete açıp açmadığı resmi raporlarda ayrıştırılmamış olsa da, yerel teknik ekiplerin kolay erişim amacıyla port yönlendirmesi yapması sık rastlanan bir durum.
Tesis yöneticilerinin vakit kaybetmeden kontrolcüleri R4.3.1 yazılım sürümüne güncellemesi ve cihazları internete açık IP adreslerinden çekerek kapalı devre bir VPN ağı arkasına alması şart.
Gıda tedarik zincirinin görünmez omurgasını oluşturan soğutma panelleri, kodlarına gömülen amatörce açıklar nedeniyle arama motorlarında indekslenmiş durumda. R4.3.1 yazılımını yüklemek deliği kapatıyor, ancak endüstriyel donanımları açık internetten tamamen izole etmedikçe benzer krizler kapıda.
Sıkça sorulan sorular
Danfoss günlük şifre açığı nasıl çalışıyor?
CVE-2025-41450 kapsamında cihaz, o günün tarihinden üretilen gizli bir dizeyi yönetici şifresi olarak kabul ediyor. Algoritmayı çözen biri, asıl yönetici şifresini bilmeden panele giriş yapabiliyor.
Saldırganlar bu açıkla gıdaların bozulmasına yol açabilir mi?
Evet. AK-SM 800A paneline sızan biri soğutma derecelerini değiştirebilir, buz çözme döngülerini bozabilir ve sıcaklık alarmlarını kapatarak tonlarca gıdayı kullanılmaz hale getirebilir.
Açığı kapatmak için hangi güncelleme gerekiyor?
Danfoss üç kritik zafiyeti R4.3.1 ürün yazılımı güncellemesiyle giderdi. Yöneticilerin cihazı güncelleyip doğrudan internet erişimini kesmesi gerekiyor.
Kaynaklar
- A secret daily password could let hackers bypass Danfoss refrigeration controls without knowing the administrator’s actual login credentials | TechRadar. techradar.com, 2026. https://www.techradar.com/pro/a-nightmare-scenario-for-supermarkets-hidden-daily-passwords-and-command-injection-flaws-leave-thousands-of-danfoss-supermarket-systems-open-to-remote-takeover