Siber Güvenlik Başkanlığı, Progress MarkLogic Server'da tespit edilen 11 güvenlik zafiyeti için TR-26-1308 kodlu bildirim yayımladı. 13 Ekim 2026'da paylaşılan bildirimde, mevcut açıklar üzerinden saldırı düzenlenmesi ve sistemlerde tahribat oluşması ihtimaline işaret edildi.
Progress, Ekim 2026 bülteninde düzeltmeleri 11.3.7 ve 12.1.0 sürümleriyle yayımladığını duyurdu. Açıklar, MarkLogic Server'ın 11.3.7 öncesindeki 11.x sürümleri ile 12.1.0 öncesindeki 12.x sürümlerini kapsıyor.
En yüksek puanlı zafiyetler
CVE kayıtlarında yer alan 11 açıktan öne çıkan başlıklar ve etki alanları şunlar:
- CVE-2026-85947: Orman (forest) işlemlerinde yetki yönetimi kusuru bulunuyor. CVE kaydına göre CVSS puanı 9.9.
- CVE-2026-85948: Kullanımdan kaldırılmış Management API bileşeninde XQuery enjeksiyonu barındırıyor. CVE kaydına göre CVSS puanı 9.9.
- CVE-2026-9191: Kullanıcı kodunun yetersiz yalıtılmasından kaynaklanıyor. CVE kaydına göre CVSS puanı 9.6.
- CVE-2026-85949: İzleme günlüklerine hassas bilgilerin kaydedilmesine yol açıyor. CVE kaydına göre CVSS puanı 8.1.
- CVE-2026-85965: JavaScript motoru bütünleştirmesinde use-after-free zafiyeti içeriyor. CVE kaydına göre CVSS puanı 8.0.
- CVE-2026-85963: Kullanımdan kaldırılmış OpsDirector aracında sunucu taraflı istek sahteciliği (SSRF) ve sabit kodlu anahtar barındırıyor. CVE kaydına göre CVSS puanı 7.5.
Listede ayrıca CVE-2026-85964 ve CVE-2026-85966 (Query Console yol geçişi / erişim kısıtı), CVE-2026-85968 ve CVE-2026-85969 (sınır dışı okuma/yazma) ile CVE-2026-85967 (XSS) kayıtları yer alıyor.
Sürüm yükseltme gerekiyor
Siber Güvenlik Başkanlığı, yayımlanan teknik dokümanların incelenmesini ve ilgili güncellemelerin ivedilikle uygulanmasını tavsiye ediyor. Progress, 11.x hattındaki sistemlerin 11.3.7 veya üzerine, 12.x hattındaki sistemlerin ise 12.1.0 veya üzerine geçirilmesi gerektiğini belirtiyor.
Zafiyetlerin sahada fiilen hedef alınıp alınmadığı veya kaç kurulumun etkilendiği bültende açıklanmadı.
Kaynaklar
- T.C. Siber Güvenlik Başkanlığı — TR-26-1308 Güvenlik Bildirimi
- Progress Community — MarkLogic Güvenlik Bülteni (Ekim 2026)
- CVE Programı — CVE-2026-85947 Kaydı
Kapak görseli: MarkLogic ve Progress logoları / Wikimedia Commons (1200×675 uyarlandı).
