Washington'daki ABD İç Güvenlik Bakanlığı genel merkezi Nebraska Avenue Complex'in tuğla sütunlu giriş kapısı. Acronis kararını veren bakanlığı simgeleyen temsili fotoğraf

ABD İç Güvenlik Bakanlığı'nın FASCSA (2018 tarihli Federal Tedarik Zinciri Güvenliği Yasası) kapsamındaki kararıyla federal sivil kurumlar Acronis ürünlerini alımlarından çıkaracak ve 180 takvim günü içinde sistemlerinden kaldıracak; kararın duyurusu 30 Ekim 2026'da Federal Register'da yayımlandı. Karar özel sektörü ve Türkiye'deki kullanıcıları bağlamıyor; ancak yedekleme araçlarının sistemlerdeki geniş yetkisini gerekçe gösteriyor.

Kararda ne var

İç Güvenlik Bakanı Markwayne Mullin tarafından imzalanan ve ilk yayım tarihi 31 Temmuz 2026 olan dışlama ve kaldırma kararının duyurusu, Federal Register'da belge no 2026-22215 ve dosya DHS-2026-0694 ile yayımlandı. Karar, kurumlar arası Federal Tedarik Güvenliği Konseyi'nin tavsiyesi doğrultusunda alındı. Kapsamda Acronis AG, Acronis, Inc. ve Acronis SCS dahil tüm bağlı ortaklıklar ile bunların doğrudan veya dolaylı sunduğu tüm ürün ve hizmetler yer alıyor.

Alınan karar doğrultusunda federal sivil kurumlar mevcut ve gelecekteki alımlarını derhal durduracak. Kurulu ürünlerin sistemlerden kaldırılması için kurumlara 180 takvim günü süre tanındı; Nextgov/FCW'ye göre son tarih 27 Ocak 2027. Bu takvimi karşılayamayacak kurumların bakanlıktan gerekçeli istisna talep etme hakkı bulunuyor.

Gerekçe: root erişimi

Yayımlanan kararın risk özetinde «Acronis'in siber güvenlik ve yedekleme araçları, müşteri güvenlik sistemlerinde ayrıcalıklı ya da root erişimine sahip ve ABD hükümeti bilgi sistemleri için önemli bir risk oluşturuyor.» ifadesine yer verildi. Burada işaret edilen root erişimi, bir sistemdeki tüm dosya ve programlara neredeyse sınırsız erişim sağlayan yönetici yetkisi anlamına geliyor. Kararda başka ayrıntı verilmiyor; bir güvenlik açığı, veri ihlali ya da kötüye kullanım adı geçmiyor. Konseyin tavsiyesi ve dayandığı kanıtlar yayımlanmadı.

Kimi bağlıyor, kimi bağlamıyor

Karar yalnızca ABD federal sivil kurumlarını ve bu kurumlar adına bilişim altyapısı işleten yüklenicileri kapsıyor. Özel sektör genelinde herhangi bir kullanım kısıtlaması bulunmuyor. Acronis sözcüsünün Federal News Network'e yaptığı açıklamada, kararın 19 Mayıs 2025'te verilen ilk FASCSA adımının beklenen bir devamı olduğu, yalnızca ABD federal kurumları için geçerlilik taşıdığı ve diğer müşteriler ile iş ortaklarını etkilemediği bildirildi.

2003'te Singapur'da kurulan ve merkezi İsviçre'de bulunan Acronis, Federal News Network'e göre 2016 mali yılından bu yana doğrudan federal sözleşme almadı; ürünleri bayiler ve iş ortakları üzerinden satılıyor. Şirketin çoğunluk hissesi 15 Mayıs 2025 tarihinde İsveçli yatırım şirketi EQT tarafından satın alınmıştı. Şirket sözcüsüne göre hisselerin yüzde 75'ten fazlası Batılı yatırımcılarda ve işlem ABD'nin yabancı yatırım denetim kurulu CFIUS'un onayıyla tamamlandı. Sözcü, kararın yargıya taşınıp taşınmayacağını söylemedi.

Önceki adımlar ve arka plan

Acronis ürünleri daha önce 2025'te Ulusal İstihbarat Direktörü kararıyla istihbarat kurumlarının sistemlerinden çıkarılmış, ardından Genel Hizmetler İdaresi ve Savunma Bakanlığı benzer adımlar atmıştı. İç Güvenlik Bakanlığı, Acronis kararından bir hafta önce Çin merkezli yapay zekâ şirketi DeepSeek için de benzer bir karar yayımlamıştı.

Nextgov/FCW'nin adı açıklanmayan iki eski yetkiliye dayandırdığı değerlendirmeye göre, yıllar süren inceleme iki yönetim dönemini kapsadı ve büyük ölçüde şirketin Rusya'daki yazılım geliştirme bağlarına ve bu bağlardan doğan tedarik zinciri risklerinin yeterince giderilip giderilmediğine odaklandı. Ancak her iki yetkili de ürünlerde Moskova ile iletişim kuran bir arka kapı bulunduğuna dair somut bir kanıt ortaya konulmadığını belirtti. Acronis, 2022'deki Ukrayna işgalinin ardından Rusya'daki faaliyetlerini durdurmuş ve teknik ekiplerini Bulgaristan, Singapur ve İsrail'e taşımıştı. Kararın risk özetinde Rusya'ya ya da bir arka kapıya atıf yer almıyor.

Türkiye açısından

Karar Türkiye'deki kurum ve şirketler için bağlayıcı değil. Acronis'in resmi iletişim sayfasına göre şirketin İstanbul Pendik'teki Teknopark'ta Acronis Turkey Siber Teknolojiler A.Ş. adlı yerel bir şirketi bulunuyor. Acronis, Ağustos 2021'de İstanbul'da DorukNet'in veri merkezinde yönetilen hizmet sağlayıcısı (MSP) iş ortaklarına ve son kullanıcılara hizmet verecek bir bulut veri merkezi açmıştı. Türkiye'deki Acronis kullanıcılarının sayısına ya da kamuda kullanımına dair açık bir veri bulunmuyor. Acronis ürünlerini kullanan kurumlar, şirketin cPanel ve Plesk eklentisindeki açığın saldırılarda kullanılmasına ilişkin önceki haberimize de göz atabilir.

Ne yapmalısınız

Siber tehdit istihbaratı şirketi Brandefense, Acronis kullanan kurumlar için aşağıdaki kontrolleri öneriyor. Şirkete göre bu adımlar Acronis'in bir hata yaptığı varsayımına dayanmıyor; root erişimli her araç için yapılması gereken gözden geçirmeyi kapsıyor.

Kaynaklar

Kapak görseli (temsili): ABD İç Güvenlik Bakanlığı genel merkezi Nebraska Avenue Complex — Antony-22, Wikimedia Commons, CC BY-SA 4.0 (kırpıldı, küçültüldü).

Sık sorulan sorular

Türkiye'de Acronis kullanmak yasaklandı mı?

Hayır. ABD İç Güvenlik Bakanlığı'nın kararı yalnızca ABD federal sivil kurumlarını ve bu kurumlar adına sistem işleten yüklenicileri bağlıyor; Türkiye'deki kurum ve şirketler için bağlayıcı değil.

ABD neden Acronis'i federal sistemlerden çıkarıyor?

Kararın risk özetine göre Acronis'in siber güvenlik ve yedekleme araçları, müşteri sistemlerinde ayrıcalıklı ya da root erişimine sahip ve bu durum ABD hükümeti bilgi sistemleri için önemli bir risk oluşturuyor. Kararda bir güvenlik açığı ya da ihlal adı geçmiyor.

Kurumlara ne kadar süre verildi?

Federal sivil kurumlar Acronis ürünlerini alımlardan hemen çıkaracak ve mevcut ürünleri 180 takvim günü içinde kaldıracak. Nextgov/FCW'ye göre son tarih 27 Ocak 2027.