Ping Identity PingIDM belgesi: üretimden önce Felix web konsolunu kaldırın ya da koruyun (Remove the Felix web console)

Müşteri girişlerini yöneten üretim sunucusunda unutulan yönetim konsolu ve varsayılan parola, herhangi bir müşteri hesabına erişilerek araçların kapısının açılmasına ve uzaktan motor çalıştırma komutunun gönderilmesine imkân tanıdı. Bir kimlik yönetimi platformu olan ForgeRock sistemindeki bu yapılandırma hatası, isimleri açıklanmayan iki otomobil üreticisinin sistemlerinde, araştırmacıların kendi ve izin veren araç sahiplerinin ABD'deki araçlarında doğrulandı; raporlamanın ardından yaklaşık iki saat içinde kapatıldı.

Güvenlik araştırmacıları Shubham Shah ve Sam Curry, 7 Kasım 2026 tarihinde yayımladıkları teknik raporda, bu iki üreticinin müşteri girişlerini yöneten ForgeRock sunucularında uzaktan kod çalıştırmaya varan bir zincir bulduklarını açıkladı. Günümüzde Ping Identity bünyesinde yer alan sistemin üretim ortamında düzeltmeler yapıldı ve etkilenen kimlik bilgileri değiştirildi.

Zincir nasıl işledi

Müşteri kayıtlarını tutan bileşendeki Apache Felix yönetim konsolu üretim ortamından kaldırılmamıştı. Konsola erişim internetten engellenmiş olsa da, ağ kenarındaki güvenlik katmanı ile arkadaki Java yazılımının aynı adresi farklı yorumlaması, araştırmacıların özel karakterlerle bu engeli aşmasını sağladı. Konsolda belgelenmiş varsayılan «admin» kullanıcı adı ve «admin» parolasıyla oturum açılarak, kimlik sunucusunda kod çalıştırıldı.

Sunucu üzerinden bir hedef hesabın elektronik posta adresi ve parolası değiştirilerek normal uygulamadan giriş yapıldı ve erişim belirteçleri (token) elde edildi. Şubat 2026 döneminde Amerika Birleşik Devletleri merkezli hesaplarla, araştırmacıların kendi ya da izinli araçlarında yapılan testte bağlı aracın kapı kilidi açıldı ve motor çalıştırıldı. Hesap bilgisi değiştiğinde asıl sahibin oturumu kapanmadığı için test sonrasında orijinal e-posta adresleri geri yüklendi.

Avustralya'da farklı bir kapı

Aynı otomobil markalarının Avustralya sistemlerinde ise giriş yolu farklıydı. Kimlik sunucusunun test ortamı için belirlenen yönetici bilgileri, müşterilere dağıtılan Android uygulamasının kodunda açıkça bulunuyordu ve üretim ortamında da çalışıyordu. Zincirin aracın plakasından araç kimlik numarasına ulaşmakla başladığı bildirildi; bu açık da birkaç saat içinde düzeltildi; Avustralya düzeltmesinin tarihi açıklanmadı. Araştırmacılara göre iki yol birleştiğinde Avustralya, ABD ve Kanada'daki araçlara kilit açma ve uzaktan motor çalıştırma komutu gönderilebiliyordu.

Kimlik ekipleri ne yapmalı

Bu durum bir ürün açığı değil, yapılandırma hatası olarak değerlendirildi; CVE numarası yayımlanmadı. Ping Identity'nin üretim ortamını sıkılaştırma belgesi, Apache Felix web konsolunun kaldırılmasını istiyor. The Hacker News'in aktardığı kontrollere göre, yönetim sayfalarını gizlemek için yalnız ağ kenarı kurallarına güvenilmemeli; e-posta ve parola değişikliklerinde ek doğrulama istenmeli ve hesap bilgisi değişince eski token erişimleri iptal edilmelidir.

Türkiye açısından bakıldığında, ForgeRock veya PingIDM kullanan kurumlar üretim sunucularında yönetim konsollarını ve varsayılan parolaları denetlemelidir. Bağlı araç uygulaması kullanan sürücüler için hesap iletişim bilgilerinin değiştiğine dair beklenmeyen bildirimler hesap ele geçirme girişiminin önemli bir işaretidir. Konuyla ilgili ülkede bir marka ya da kullanıcı bilgisi kaynaklarda yer almıyor.

Kaynaklar

Görsel: Ping Identity PingIDM belgesi ekran görüntüsü.