Siber Güvenlik Başkanlığı, Ankara merkezli İKAS Teknoloji A.Ş. tarafından geliştirilen ikas E-Ticaret Altyapısı'ndaki bir açık için 16 Ekim 2026'da TR-26-1348 kodlu güvenlik bildirimi yayımladı. Açık, şifre sıfırlama ekranının verdiği farklı yanıtlar üzerinden bir hesabın sistemde kayıtlı olup olmadığının anlaşılmasına imkân tanıyor.
TR-CERT tarafından CVE-2026-14177 koduyla kaydedilen güvenlik açığının CVSS v3.1 puanı 7,5 (yüksek) olarak belirlendi. Değerlendirmeye göre açık, ağ üzerinden herhangi bir kimlik doğrulama gerektirmeden kullanılabiliyor. Sorun, saldırganların şifre sıfırlama taleplerine sistemin döndüğü tepkileri gözlemleyerek sistemde kayıtlı kullanıcıları ve hesapları tespit etmesine yol açıyor.
Yayımlanan kayıtlara göre zafiyet, ikas E-Ticaret Altyapısı'nın 13.07.2026 tarihli sürümüne kadar olan sürümlerini etkiliyor. Siber Güvenlik Başkanlığı, uygulamanın en az 13.07.2026 tarihli sürüme ve sonrasına yükseltilmesini öneriyor. Güvenlik açığını kimin bildirdiği ve açığın sahada fiilen kullanılıp kullanılmadığı konusunda ise resmi kayıtlarda bir bilgi yer almıyor.
Siber Güvenlik Başkanlığı, Ağustos 2026'da yine aynı üreticiye ait İKAS Teknoloji Rush ürününde de güvenlik açığı tespit edildiğini duyurmuştu.
Kaynaklar
Kapak görseli: ikas.com paylaşım görseli (ikas logosu, İKAS Teknoloji A.Ş.; 1200×675 uyarlandı).
