Οι ομάδες που διαχειρίζονται εφαρμογές αναπτυγμένες στην πλατφόρμα Mendix και χρησιμοποιούν την ενότητα SAML για ενιαία σύνδεση (single sign-on) πρέπει να ελέγξουν άμεσα ποια έκδοση τρέχουν. Η Siemens δημοσίευσε τη Δευτέρα 26 Οκτωβρίου 2026 το δελτίο ασφαλείας SSA-137528 για την ευπάθεια CVE-2026-89209 στην ενότητα Mendix SAML. Το κενό μπορεί να επιτρέψει σε επιτιθέμενο που δεν έχει ταυτοποιηθεί να μπει από απόσταση στην εφαρμογή, αρκεί να επαναχρησιμοποιήσει μια έγκυρη απάντηση SAML.
Το κείμενο που κυκλοφόρησε την Πέμπτη 29 Οκτωβρίου στον ιστότοπο της CISA, με κωδικό ICSA-26-302-01, είναι αναδημοσίευση του δελτίου της Siemens ProductCERT, δηλαδή της ομάδας απόκρισης της εταιρείας σε θέματα ασφαλείας προϊόντων. Η CISA το ορίζει η ίδια ως αυτούσια αναδημοσίευση, που γίνεται «ως έχει» για μεγαλύτερη προβολή. Δηλώνει ότι δεν φέρει ευθύνη για την ακρίβειά του και παραπέμπει στη Siemens για κάθε ερώτημα. Η Siemens ProductCERT είναι εκείνη που ανέφερε την ευπάθεια στη CISA.
Η Siemens περιγράφει το Mendix SAML ως ενότητα που επιτρέπει σε εφαρμογή cloud να ταυτοποιεί τους χρήστες της μέσω SAML (γλώσσα ανταλλαγής στοιχείων ταυτότητας μεταξύ συστημάτων), με οποιονδήποτε πάροχο ταυτότητας που υποστηρίζει SAML 2.0 ή Shibboleth. Το πρόβλημα βρίσκεται στις ροές όπου η σύνδεση ξεκινά από τον ίδιο τον πάροχο ταυτότητας (IdP-initiated). Οι επηρεαζόμενες εκδόσεις δεν προστατεύουν επαρκώς από την επανάληψη μιας SAML απάντησης και μια έγκυρη απάντηση μπορεί να ξαναχρησιμοποιηθεί. Η αδυναμία ταξινομείται ως CWE-294, παράκαμψη ταυτοποίησης με καταγραφή και επανάληψη.
Η βαθμολογία CVSS v3.1 είναι 6,8, δηλαδή «μέτρια» (MEDIUM). Το διάνυσμα που δίνεται δηλώνει επίθεση μέσω δικτύου, υψηλή πολυπλοκότητα, καμία απαίτηση προνομίων, ανάγκη ενέργειας από χρήστη και υψηλές επιπτώσεις στην εμπιστευτικότητα και στην ακεραιότητα. Η σελίδα της Siemens δίνει επιπλέον βαθμολογία CVSS v4.0 ίση με 7,6, ενώ το κείμενο της CISA παραθέτει μόνο την έκδοση 3.1.
Επηρεάζονται όλες οι εκδόσεις της ενότητας Mendix SAML για Mendix 9 παλαιότερες της V3.6.29 και όλες οι εκδόσεις για Mendix 10 και Mendix 11 παλαιότερες της V4.2.4. Η Siemens έχει κυκλοφορήσει νέες εκδόσεις: η V3.6.29 ή νεότερη για το Mendix 9 και η V4.2.4 ή νεότερη για τα Mendix 10 και 11. Οι ενημερώσεις βρίσκονται στο Mendix Marketplace, στη σελίδα του συστατικού με αριθμό 1174.
Ως προσωρινό μέτρο μείωσης του κινδύνου η Siemens προτείνει την απενεργοποίηση της ενιαίας σύνδεσης που ξεκινά από τον πάροχο ταυτότητας (IdP-initiated SSO). Ως γενικό μέτρο ασφαλείας συνιστά την προστασία της πρόσβασης στο δίκτυο με κατάλληλους μηχανισμούς, τη λειτουργία σε προστατευμένο περιβάλλον πληροφορικής βάσει των επιχειρησιακών οδηγιών της για τη βιομηχανική ασφάλεια (Industrial Security) και την τήρηση των συστάσεων των εγχειριδίων των προϊόντων.
Από την πλευρά της, η CISA προσθέτει τις δικές της συνήθεις συστάσεις για συστήματα ελέγχου. Ζητά ελάχιστη έκθεση στο διαδίκτυο, δίκτυα ελέγχου πίσω από τείχη προστασίας και χωριστά από τα επιχειρησιακά δίκτυα και, για απομακρυσμένη πρόσβαση, ασφαλέστερες μεθόδους όπως ενημερωμένα VPN, έπειτα από ανάλυση επιπτώσεων και εκτίμηση κινδύνου.
Το δελτίο καταγράφει ως κρίσιμους τομείς την κρίσιμη μεταποίηση και την τεχνολογία πληροφορικής, με εγκατάσταση παγκοσμίως και έδρα της εταιρείας στη Γερμανία. Η CISA δημοσιεύει συνεχώς δελτία για συστήματα βιομηχανικού ελέγχου, όπως οι τέσσερις ευπάθειες της Mitsubishi Electric στα GENESIS64 και ICONICS Suite που είχαμε παρουσιάσει στις 29 Οκτωβρίου. Ξεχωριστή κατηγορία αποτελούν οι ευπάθειες που ήδη εκμεταλλεύονται επιτιθέμενοι, όπως οι δύο ευπάθειες του Ivanti Connect Secure που μπήκαν στον κατάλογο KEV.
