Siber Güvenlik Başkanlığı (SGB), kurumların kendi sunucularında da barındırabildiği açık kaynak ekip sohbeti platformu Mattermost'taki 15 güvenlik açığı için TR-26-1352 numaralı bildirimi 19 Ekim 2026'da yayımladı. Açıkların CVE kayıtları Mattermost tarafından 16 Ekim 2026'da yayımlandı; kayıtlardaki CVSS puanları 4,3 ile 7,1 arasında.
Öne Çıkan Açıklar
- CVE-2026-16453: SAML RelayState parametresinin bütünlüğü doğrulanmadığı için oturum açmış bir SAML kullanıcısı izni olmayan ekiplere katılabiliyor (CVSS 7,1, Yüksek).
- CVE-2026-18551: Misafir ve yönetici rollerinin birlikte atanması denetlenmediği için oturum açmış bir saldırgan bir misafir hesabını ekip yöneticisi düzeyine yükseltebiliyor (CVSS 6,5).
- CVE-2026-19600: Kimlik doğrulama belirteçleri sunucu günlüklerine temizlenmeden yazılıyor; günlüklere erişen biri bunları görebiliyor (CVSS 4,5).
- CVE-2026-19601: Sunucu adresi gibi AD/LDAP bağlantı ayarları değiştirildiğinde kayıtlı bağlama parolası geçersiz kılınmıyor (CVSS 4,9).
CVE kayıtlarındaki açıklamalara göre açıkların hepsi oturum açmış bir kullanıcı ya da sunucu günlükleri, yönetim ayarları gibi özel erişim gerektiriyor; kimlik doğrulaması olmadan uzaktan kod çalıştırmaya izin veren bir açık yok. Açıkların hiçbiri CISA'nın saldırılarda kullanılan açıklar kataloğunda (KEV) yer almıyor.
Düzeltilen Sürümler
Güvenlik açıkları Mattermost'un 11.7, 11.8, 11.9 ve 11.10 dallarını etkiliyor. Tüm açıkları kapatmak için 11.11.0 sürümüne ya da kullanılan dala göre 11.10.2, 11.9.2, 11.8.6 veya 11.7.11 sürümüne geçilmesi gerekiyor. SGB, yöneticilere platformun güvenlik güncellemeleri belgelerini inceleyerek sistemleri güncellemelerini tavsiye ediyor.
Kaynaklar
- T.C. Siber Güvenlik Başkanlığı — TR-26-1352 Mattermost Uygulama Güvenlik Bildirimi, 19 Ekim 2026
- Mattermost — Security Updates
- CVE Program — CVE-2026-16453, 16 Ekim 2026
Kapak görseli (temsili): Mattermost sohbet arayüzü — Gmoran6 / Wikimedia Commons, CC BY-SA 4.0 (1200×675 kırpıldı).
