Siber Güvenlik Başkanlığı, açık kaynak NetBird istemcisinde tespit edilen bir güvenlik açığı nedeniyle 14 Ekim 2026'da TR-26-1320 kodlu bildirim yayımladı. Başkanlık, mevcut zafiyet üzerinden siber saldırganların zafiyeti kullanarak saldırı gerçekleştirmesinin ihtimal dâhilinde olduğunu belirterek ilgili güvenlik bülteninin incelenmesini ve gerekli güncellemelerin ivedilikle yapılmasını tavsiye etti.
NetBird'ün yayımladığı güvenlik danışmasına göre zafiyet, istemcinin SSH yapılandırma yöneticisinin (client/ssh/config/manager.go) peer FQDN / hostname değerini çift tırnaklı OpenSSH «Match host» satırına kaçış yapmadan yazmasından kaynaklanıyor. Kötü niyetli veya ele geçirilmiş bir peer, tırnak dışına çıkarak ek SSH yapılandırma yönergeleri (ek «exec» komutları dahil) enjekte edebiliyor; kullanıcı bir sonraki «ssh» çalıştırmasında enjekte edilen komutlar yerelde çalışabiliyor.
Masaüstü sürümleri etkileniyor
Etkilenenler Linux, macOS, Windows ve FreeBSD üzerindeki 0.60.0 – 0.74.7 öncesi masaüstü istemciler; yazılan dosya Linux/macOS/FreeBSD'te /etc/ssh/ssh_config.d/99-netbird.conf, Windows'ta ProgramData ssh_config.d eşdeğeri. Android ve iOS uygulamaları sistem dizinine yazamadıkları için etkilenmiyor.
Geliştirici ekip zafiyeti 0.74.7 sürümünde kapattı (çekme isteği #6805). Securin Inc.'den Arjun Basnet'in bildirdiği açık için CVE-2026-105429 kodu tanımlandı. CVE kaydına göre CVSS 3.1 puanı 8.0 (Yüksek), CVSS 4.0 puanı 8.9.
Açığın sahada kullanılıp kullanılmadığı ve etkilenen kurulum sayısı bilinmiyor; CVE CISA'nın bilinen istismar edilen açıklar (KEV) listesinde yer almıyor.
Kaynaklar
- Siber Güvenlik Başkanlığı TR-26-1320 Güvenlik Bildirimi
- NetBird GitHub Güvenlik Danışması (GHSA-xmg2-v32j-x2hf)
- CVE Programı Kaydı (CVE-2026-105429)
- Ulusal Zafiyet Veritabanı (NVD) Kaydı
Kapak görseli: NetBird logosu, üretici marka görseli / birincil (1200×675 uyarlandı).
