Siber Güvenlik Başkanlığı (SGB), OpenSSH'daki güvenlik açıkları için 15 Ekim 2026'da TR-26-1338 kodlu bildirim yayımladı. Bildirimde yer alan üç CVE kaydı, Red Hat güvenlik güncellemeleri listesinde sftp yol işleme, kullanıcı adı genişlemesi ve sıkıştırma sözlüğü sızıntısı başlıklarıyla yer alıyor.
Bildirimdeki zafiyetler ve etkileri
SGB bildiriminde sıralanan güvenlik açıkları şu kayıtlardan oluşuyor:
- CVE-2026-110923: sftp bileşeninin, sunucu tarafından iletilen bir yol üzerinden hedef dizin dışına dosya yazabilmesine yol açıyor.
- CVE-2026-110925: Komut satırındaki kullanıcı adında yer alan '$' ve '\' karakterlerinin %u parametresi üzerinden genişletilmesinden kaynaklanıyor.
- CVE-2026-110926: Paylaşılan LZ77 sıkıştırma sözlüğünün kanallar arasında düz metin sızdırmasına imkan veriyor.
Bildirime konu zafiyetler için CISA KEV kataloğunda aktif bir istismar kaydı bulunmuyor. SGB, daha önce yayımladığı TR-26-1262 kodlu bildirimde farklı OpenSSH açıklarına yer vermişti.
Çözüm ve güncellemeler
SGB, sistem yöneticilerine ve kullanıcılara ilgili güvenlik dokümanlarını incelemelerini ve sistem güncellemelerini yapmalarını önerdi. Açıklardan etkilenen paket sürümleri ve yama detayları Red Hat CVE sayfalarında yayımlanıyor.
Kaynaklar
Kapak görseli: OpenSSH komut satırı oturumu / Wikimedia Commons, CC BY-SA 4.0 (1200×675 uyarlandı).
