Siber Güvenlik Başkanlığı (SGB), SFM Yazılım Teknolojileri tarafından geliştirilen maliyet hesaplama yazılımı Costifier üzerinde tespit edilen iki güvenlik açığı nedeniyle TR-26-1349 kodlu bir bildirim yayımladı. Üretici açıkları kapatmadığı için kurum, Costifier kullanan kuruluşlara doğrudan muadil başka bir ürüne geçmelerini önerdi.
Costifier; geçmiş teklif ve üretim verilerini makine öğrenmesiyle işleyerek hedef fiyat hesabı yapan, satın alma ve tedarik süreçlerine yönelik bulut tabanlı bir yazılım olarak tanımlanıyor. Berat Arslan tarafından tespit edilen açıklar, 16 Ekim 2026 tarihine kadar yayımlanan tüm Costifier sürümlerini kapsıyor.
Yama çıkmadı, resmi tavsiye ürünü değiştirmek oldu
Resmi güvenlik bildirimlerinde genellikle güncelleme veya geçici önlem tavsiyesi verilirken SGB, bu kez yazılımın değiştirilmesini istedi. Bildirimde, üretici tarafından zafiyetlerin giderilmemesi nedeniyle kullanıcılara başka bir çözüme yönelmeleri çağrısı yapıldı. CVE kayıtlarındaki nota göre üreticiyle erken iletişime geçildi ancak herhangi bir yanıt alınamadı.
Yazılımda kapatılmayan açıklar ve teknik detayları şöyle:
- CVE-2026-15219 (CVSS 6,5 - Orta): Oturum açmış bir kullanıcının, ağ isteklerindeki kayıt tanımlayıcısını değiştirerek yetkisi dışındaki veriler üzerinde işlem yapmasına olanak tanıyan IDOR zafiyeti.
- CVE-2026-15575 (CVSS 5,3 - Orta): Canlı üretim ortamında hata ayıklama (debug) modunun açık bırakılması sebebiyle yetkisiz kişilerin sistem hakkında hassas bilgilere erişebilmesine yol açan bilgi ifşası açığı.
Açıklar nedeniyle hangi verilerin ifşa olduğu veya zafiyetlerin sahada kötüye kullanılıp kullanılmadığı bilinmiyor. Açıklar için herhangi bir resmi yama bulunmuyor.
Kaynaklar
- T.C. Siber Güvenlik Başkanlığı — TR-26-1349 Güvenlik Bildirimi
- CVE Kaydı — CVE-2026-15219
- CVE Kaydı — CVE-2026-15575
- SFM Yazılım Teknolojileri
- Costifier Ürün Sayfası
Kapak görseli: costifier.com ürün ekran görüntüsü (Costifier hesap oluşturma ekranı, SFM Yazılım; kırpıldı, 1200×675 uyarlandı).
