Siber Güvenlik Başkanlığı (SGB), açık kaynak ilişkisel veritabanı yönetim sistemi MariaDB'nin bazı sürümlerindeki 6 güvenlik açığı için TR-26-1353 numaralı bildirimi 19 Ekim 2026'da yayımladı. Açıklar için güvenlik düzeltmeleri 10.6.28, 10.11.19, 11.4.13, 11.8.9, 12.3.3 ve 13.0.2 sürümlerinde sunuldu.
Bildirilen Güvenlik Açıkları
- CVE-2026-92262: #mysql50# öneki normal ad denetimlerinin atlatılmasına izin veriyor (10.6.1'den itibaren).
- CVE-2026-85746: ST_AsText fonksiyonunun geometri dönüşümleri sırasında ayrılan bellek tamponunun dışına yazmasına yol açıyor.
- CVE-2026-85748: SYS_REFCURSOR işlenirken imleç dizisi yeniden ayrıldığında eski referanslar kalabiliyor; düşük yetkili bir kullanıcıyı ilgilendiriyor (yalnızca 12.3 ve 13.0 dalları; 12.3.3 ve 13.0.2'de düzeltildi).
- CVE-2026-97380: GRANT PROXY ifadesi, boş parolalı IDENTIFIED cümlesini kimliği doğrulanmış gibi ele alıyor.
- CVE-2026-85985: CONNECT depolama motorundaki dosya işlevlerinde yetki doğrulama sorunu oluşturuyor.
- CVE-2026-85745: ST_Area fonksiyonunun geçersiz verilerde tampon dışını okumasına yol açıyor.
CVE kayıtlarında üç açığa 9,9, birine 8,8 CVSS puanı verilmiş; diğer ikisinin puanı 5,4 ve 4,3. Kayıtlara göre açıkların çoğu veritabanına bağlanabilen bir kullanıcı hesabı gerektiriyor. Açıkların hiçbiri CISA'nın saldırılarda kullanılan açıklar kataloğunda (KEV) yer almıyor. SGB, kullanıcılara ilgili dokümanları gözden geçirip gerekli güncellemeleri yapmalarını tavsiye ediyor; sistem yöneticilerinin kullandıkları dala uygun düzeltilmiş sürüme geçmesi önerilir. SGB, MariaDB için daha önce de TR-26-1293 numaralı bildirimi yayımlamıştı.
Kaynaklar
- T.C. Siber Güvenlik Başkanlığı — TR-26-1353 MariaDB Güvenlik Zafiyeti, 19 Ekim 2026
- MariaDB — Server security advisories, GitHub
- CVE Program — CVE-2026-92262, 16 Ekim 2026
Kapak görseli (temsili): MariaDB OpenWorks 2019 girişi — Sofia Ek / Wikimedia Commons, CC BY-SA 4.0 (1200×675 kırpıldı).
