Siber Güvenlik Başkanlığı, IBM WebSphere Application Server'daki 12 güvenlik zafiyeti için TR-26-1319 kodlu bildirim yayımladı. 14 Ekim 2026'da paylaşılan bildirimde, siber saldırganların zafiyetleri kullanarak saldırı gerçekleştirmesinin ihtimal dâhilinde olduğu belirtildi; IBM'in ilgili güvenlik bültenlerinin incelenmesi ve gerekli güncellemelerin ivedilikle yapılması tavsiye edildi.
IBM'in yayımladığı bültenlere göre açıkların büyük bölümü WebSphere Liberty sürümlerini kapsıyor. İki zafiyet ise Liberty'nin yanı sıra klasik WebSphere Application Server 8.5 ve 9.0 sürümlerini de etkiliyor.
Yüksek puanlı zafiyetler ve etkilenen bileşenler
Açıkların önemli bir kısmı tüm sunucu kurulumlarında değil, yalnızca belirli özellikler etkinleştirildiğinde ortaya çıkıyor.
CVE kaydına göre CVSS puanı 9.1 olan CVE-2026-93909 zafiyeti, WebSphere Liberty 17.0.0.3 ile 26.0.0.10 arasındaki sürümlerde samlWeb-2.0 özelliği devredeyken kimlik doğrulamanın atlatılmasına yol açıyor (APAR DT502359).
Aynı şekilde CVSS puanı 9.1 olarak listelenen CVE-2026-93895 zafiyetinde, WebSphere Liberty 20.0.0.12 ile 26.0.0.10 sürümlerinde grpc-1.0 özelliği etkinken, IBM'e göre kimliği doğrulanmamış uzak bir saldırgan gRPC servis metotlarına tanımlı erişim denetimlerini aşabiliyor (APAR DT502929). İlgili bültende ayrıca hatalı yetkilendirme nedeniyle güvenlik kısıtlarının atlatılmasına yol açan CVE-2026-95695 (CVSS 7.4) ve yakalanmamış istisna ile hizmet dışı bırakmaya neden olan CVE-2026-95696 (CVSS 6.5) yer alıyor.
Klasik WebSphere 8.5 ve 9.0 ile Liberty 17.0.0.3 – 26.0.0.10 sürümlerini birlikte etkileyen CVE-2026-101294 (CVSS 8.7), kriptografik imza doğrulamasının atlatılmasına imkân veriyor (APAR DT502997 / DT503882).
CVSS puanı 8.2 olan CVE-2026-93905 zafiyetinde, batchManagement-1.0 özelliği etkinken güvenilmeyen verinin seri durumdan çıkarılması (deserialization) nedeniyle, IBM'e göre kimliği doğrulanmamış uzak bir saldırgan toplu iş örneklerinin kayıtlı durumunu bozabiliyor (APAR DT502467). Yine 8.2 puanlı CVE-2026-105443 ise restConnector-1.0 veya restConnector-2.0 devredeyken aynı kurulumu paylaşan Liberty sunucuları arasındaki izolasyon eksikliğinden kaynaklanıyor (APAR DT503659).
Hem klasik WebSphere 8.5 ve 9.0 hem de Liberty sürümlerini kapsayan CVE-2026-105442 (CVSS 7.5), mesajlaşma servisinde güvensiz seri durumdan çıkarma nedeniyle hizmet dışı kalmaya yol açabiliyor (APAR DT503516 / DT503624).
Bildirimde yer alan diğer açıklar
Bildirime konu olan diğer dört zafiyet WebSphere Liberty 17.0.0.3 ile 26.0.0.9 arasındaki sürümleri kapsıyor:
- CVE-2026-77816 (CVSS 6.5): Yönetim istemcisinde hatalı sertifika doğrulaması nedeniyle ortadaki adam saldırısıyla bilgi elde etme imkânı.
- CVE-2026-14909 (CVSS 6.5): restConnector-2.0 devredeyken bilgi ifşası.
- CVE-2026-11713 (CVSS 5.4): restConnector-2.0 özelliği üzerinden yetki yükseltme.
- CVE-2026-14532 (CVSS 4.3): Reader rolündeki kullanıcının sürüm bilgisi isteğiyle yakalanmamış istisnaya yol açması.
Düzeltmeler ve sürüm takvimi
IBM, CVE-2026-77816, CVE-2026-14909, CVE-2026-11713 ve CVE-2026-14532 kodlu açıkların Liberty Fix Pack 26.0.0.10 ve sonrasında giderildiğini duyurdu.
IBM'e göre diğer açıklar için geçici çözüm (workaround) bulunmuyor. Üretici, ilgili APAR kayıtları için yayımlanan ara düzeltmelerin (interim fix) kurulmasını öneriyor. Alternatif olarak henüz yayımlanmayan düzeltme paketleri beklenebilir; IBM'e göre Liberty 26.0.0.11 ile klasik WebSphere 9.0.5.30 ve 8.5.5.32 paketlerinin 2026'nın son çeyreğinde çıkması hedefleniyor.
Açıkların sahada kullanılıp kullanılmadığı ve etkilenen sistem sayısı bilinmiyor. Zafiyetler ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı'nın (CISA) bilinen istismar edilen açıklar kataloğunda (KEV) yer almıyor.
Kaynaklar
- T.C. Siber Güvenlik Başkanlığı TR-26-1319 Güvenlik Bildirimi
- IBM Güvenlik Bülteni (Node 7292236)
- IBM Güvenlik Bülteni (Node 7292228)
- IBM Güvenlik Bülteni (Node 7292235)
- IBM Güvenlik Bülteni (Node 7291394)
- CVE Programı Kaydı: CVE-2026-93909
- NIST NVD Kaydı: CVE-2026-93909
Kapak görseli: IBM logosu / Wikimedia Commons, kamu malı (1200×675 uyarlandı).
