Siber Güvenlik Başkanlığı (SGB), Epic Games Unreal Engine oyun motorundaki bir güvenlik açığı nedeniyle TR-26-1321 kodlu güvenlik bildirimini 14 Ekim 2026'da yayımladı. Başkanlığa göre mevcut açıklık nedeniyle siber saldırganların zafiyeti kullanarak saldırı gerçekleştirmesi ihtimal dâhilinde; ilgili güvenlik bülteninin incelenmesi ve gerekli önlemlerin ivedilikle alınması tavsiye ediliyor.
LaunchURL düğümünde şema filtresi boş bırakılıyor
CVE-2026-14765 koduyla kayda geçen açık, AHA! / takeonme.org açıklamasına göre Unreal Engine ≤5.8.0 sürümlerini kapsıyor. LaunchURL Blueprint düğümünde (UKismetSystemLibrary::LaunchURL) URL şema filtresi (FURLRequestFilter) varsayılan olarak boş bırakılıyor; bu da tüm URL şemalarına izin veriyor.
Windows'ta bu çağrı ShellExecuteW() ile «open» parametresine dönüşüyor; verilen file:/// URI'si referans alınan dosyanın çalıştırılmasına yol açabiliyor. Kullanıcı içeriği (Blueprint içeren harita/UGC) yükleyen Unreal Engine oyunları etkileniyor; uzaktan WebDAV paylaşımlı dosya da senaryoda anılıyor.
CVSS puanı 7.7 olarak kaydedildi
Araştırmacı Khael Kugler, Meccha Chameleon (UE5, Steam Workshop haritaları) örneğinde 2 tıklamalı uzaktan kod çalıştırma zincirini gösterdi (Haziran 2026 yazısı). CVE kaydına göre CVSS 3.1 puanı 7.7 (Yüksek); vektör yerel erişim, yüksek karmaşıklık, kullanıcı etkileşimi gerektiriyor (AV:L/AC:H/PR:N/UI:R).
Epic Games'in resmi yama / düzeltilmiş motor sürüm numarası bu kaynak paketinde net değil; olmayan sürüm uydurulmuyor. SGB, bültenlerin incelenmesini ve gerekli önlemlerin alınmasını (filtre yapılandırması dahil) tavsiye ediyor. Açığın sahada yaygın kullanılıp kullanılmadığı bilinmiyor; CVE CISA KEV listesinde yer almıyor.
Kaynaklar
- T.C. Siber Güvenlik Başkanlığı TR-26-1321 Güvenlik Bildirimi
- takeonme.org CVE-2026-14765 Güvenlik Notu
- Khael Kugler Araştırma Notu
- CVE.org CVE-2026-14765 Kaydı
Kapak görseli: Unreal Engine logosu / Wikimedia Commons, kamu malı (1200×675 uyarlandı).
.svg){kind=link}