Siber Güvenlik Başkanlığı, Progress Telerik Report Server rapor sunucusu yazılımında tespit edilen iki güvenlik açığı nedeniyle 12 Ekim 2026'da TR-26-1298 kodlu bir güvenlik bildirimi yayımladı. Başkanlık, söz konusu zafiyetler sebebiyle hedef sistemlerin siber saldırıya uğrama ihtimali bulunduğunu belirterek yayımlanan dokümanların incelenmesini ve güncellemelerin ivedilikle uygulanmasını istedi.
Yetki yükseltme ve saklı XSS açıkları kapatıldı
Yazılımın geliştiricisi Progress tarafından paylaşılan teknik bilgilere göre zafiyetler, 12.2.26.1007 öncesindeki tüm sürümleri etkiliyor. Şirket, riskleri ortadan kaldırmak için sistemlerin 12.2.26.1007 veya daha yeni bir sürüme yükseltilmesini öneriyor.
İlk açık olan CVE-2026-106145, Service-Agent Hub bileşenindeki yanlış yetki atamasından kaynaklanıyor. CVSS puanı 7.1 olarak belirlenen bu zafiyet, düşük yetkili kullanıcıların sistem üzerinde yetki yükseltmesine zemin hazırlıyor.
CVSS puanı 8.9 olarak hesaplanan ikinci açık CVE-2026-106155 ise Web Report Viewer bileşenlerinde yer alan saklı siteler arası betik çalıştırma (stored XSS) hatasından kaynaklanıyor. Bu açık, saldırganların hedef sunucuya zararlı betikler yerleştirmesine olanak tanıyor.
Etkilenen kurulum sayısı bilinmiyor
Progress'in yayımladığı bilgi bankası kayıtlarında, zafiyetlerin sahada aktif saldırılarda kullanılıp kullanılmadığına ya da etkilenen müşteri ve kurulum sayısına dair bir bilgi yer almıyor.
Kaynaklar
- T.C. Siber Güvenlik Başkanlığı (SGB) TR-26-1298 Güvenlik Bildirimi
- Progress Telerik KB: CVE-2026-106145
- Progress Telerik KB: CVE-2026-106155
Kapak görseli: Telerik / Progress / Wikimedia Commons, Kamu malı (Public domain, Commons) (1200×675 uyarlandı).
