Rack kabinde switch ve patch panellere bağlı yoğun mavi ağ kabloları; kurumsal ağ altyapısını simgeleyen temsili fotoğraf (Fortinet, TeamViewer, Veeam ya da SGB görüntüsü değildir)

T.C. Siber Güvenlik Başkanlığı (SGB), 28 Ekim 2026 sabahı 10:13 ile 11:03 TSİ arasında TR-26-1410 ile TR-26-1420 kodlu 11 güvenlik bildirimi yayımladı. Bildirimlerde toplam 33 CVE yer alıyor; öne çıkan ürünler FortiOS, TeamViewer ve Veeam, bildirimlerden biri ise yerli ürün DefterAsist ile ilgili. Açıkların hiçbiri CISA'nın istismar edildiği bilinen açıklar kataloğunda (KEV) bulunmuyor. SGB'nin 27 Ekim'de yerli yazılımlar için yayımladığı bildirimleri önceki derlememizde aktarmıştık.

FortiOS ve TeamViewer

Fortinet FortiOS için yayımlanan TR-26-1419 kodlu bildirimdeki CVE-2026-106174 açığının CVSS puanı Fortinet'e göre 6,7 (orta). Kimlik doğrulaması gerekmeden cihaza ağ erişimi olan bir saldırgan, hazırlanmış HTTP istekleriyle HTTPS yönetim arayüzünü hizmet dışı bırakabilir. Bu durumdan FortiOS 8.0.0 ile 7.6.4–7.6.6 sürümleri etkileniyor; 7.4 ve 7.2 sürümleri ise etkilenmiyor. Fortinet, 8.0.1 ya da 7.6.7 ve üstü sürümlere geçilmesini öneriyor; FortiGuard bülteninde açık için bilinen bir istismar bildirilmiyor.

TeamViewer bildiriminde (TR-26-1417) yer alan CVE-2026-111585 kodlu açık 8,8 puan aldı. Uzaktan kontrol oturumunda ekran görüntüsünü işleyen bileşendeki tamsayı taşması, kullanıcı kötü niyetli ya da ele geçirilmiş bir bilgisayara bağlandığında uygulamanın çökmesine, koşullara bağlı olarak daha ağır sonuçlara yol açabilir. Full Client, Portable ve Remote Control yazılımlarının 15.83 öncesi sürümleri etkileniyor. Ayrıca Windows ortamında 7,3 puanlı CVE-2026-111583 (Advanced Asset Management, 15.82 öncesi) ve CVE-2026-111584 (Patch Management, 26.9.1 öncesi) yerel yetki yükseltme açıkları bildirildi. TeamViewer güncel sürüme geçilmesini öneriyor; şirket, bülteni yayımladığı sırada açıkların kötüye kullanıldığına dair bir bilgisi olmadığını belirtti.

Veeam ve Dell PowerProtect: yedekleme ürünleri

Veeam bildiriminde (TR-26-1411), Veeam Backup for Microsoft 365 ürününde yer alan CVE-2026-106076 açığının CVSS 4.0 puanı 9,0. Kimliği doğrulanmış bir kuruluş aktarımı (organization transfer) eşinin yapabileceği SQL enjeksiyonu, kiracılar arasında yapılandırma verisinin okunup değiştirilmesine ve PostgreSQL hizmet hesabı yetkisiyle uzaktan kod çalıştırmaya yol açabilir. Bu sorun 8.5.0.1014 ve önceki 8 sürümlerini kapsıyor; düzeltme ise 8.6 (8.6.0.1102) sürümünde yer alıyor. Aynı üründeki dosya okuma açığı CVE-2026-106077 (8,3) 8.6.0.1102 sürümüyle, CVE-2026-106078 (6,9) ve CVE-2025-64394 (4,3) ise 8.6 Patch 1 (8.6.0.5011) ile giderildi. Veeam Agent for Linux'taki yerel yetki yükseltme açığı CVE-2026-105477 (7,3) yalnız Veeam Backup & Replication tarafından yönetilen kurulumları etkiliyor ve 13.1.2 sürümüyle kapatıldı.

Dell PowerProtect Data Domain için yayımlanan TR-26-1418 bildiriminde 4 açık yer alıyor. En yüksek puanlı açık, kimlik doğrulaması gerektirmeyen uygun olmayan erişim denetimi hatası CVE-2026-90730 (6,5). Ayrıca SSRF açığı CVE-2026-56084 (5,8) ile yüksek yetki gerektiren iki yığın taşması (4,9) bildirildi. CVE kaydına göre güncel sürümler 8.9.0.0, 7.13.1.90 ve 8.3.1.50 ya da sonrası.

NVIDIA, Model Context Protocol ve Google ADK: yapay zekâ araçları

NVIDIA bildiriminde (TR-26-1410) 6 açık duyuruldu. En yüksek puan, NeMo Agent Toolkit 1.0–1.8.0 sürümlerindeki eksik kimlik doğrulama açığı CVE-2026-65145'in (10,0); açık kod çalıştırma, yetki yükseltme ve veri değiştirmeye yol açabilir. Bildirimde ayrıca NeMo Agent Toolkit'teki SQL enjeksiyonu CVE-2026-65151 (8,4), PhysX üzerinde sınır dışı yazma CVE-2026-47486 (7,8) ile TensorRT-LLM'deki CVE-2026-65119 (8,4) ve iki SSRF açığı, CVE-2026-65120 ile CVE-2026-24269 (7,1) yer alıyor. Düzeltilmiş sürümler için NVIDIA'nın bültenlerindeki güncellemelere bakılması gerekiyor.

Yapay zekâ altyapılarında kullanılan Model Context Protocol Python SDK bildiriminde (TR-26-1413) CVE-2026-116685 (5,9) ve CVE-2026-116686 (6,5) açıkları 1.30.0 ve 2.2.0 sürümleriyle kapatıldı. Google ADK bildiriminde (TR-26-1412) ise bir uygulamanın başka bir uygulamanın dosyalarına erişebilmesine yol açabilen CVE-2026-115522 (5,3) açığı 1.39.1 ve 2.7.0 sürümleriyle düzeltildi.

Thunderbird, Moxa, Vaultwarden ve yerli DefterAsist

Mozilla Thunderbird bildiriminde (TR-26-1415) CVE-2026-118174 ile CVE-2026-118180 arasındaki 7 açık yer aldı. Sorunlar Thunderbird 159 ve 153.6 ile düzeltildi. Açıklar, hazırlanmış bir e-posta görüntülendiğinde Windows'ta saldırganın seçtiği sunucuya bağlanılarak NTLM kimlik doğrulama verisinin sızmasına, OpenPGP anahtarı üzerinden uzak içerik engelinin aşılmasına veya yanıtlama sırasında klasördeki başka bir iletinin içeriğinin mesaja eklenmesine yol açabilir.

Moxa bildiriminde (TR-26-1414), MRC Client'taki sertifika doğrulama hatası CVE-2026-111459 (CVSS 4.0, 7,6) ağ yolu üzerindeki bir saldırganın sunucuyu taklit etmesine yol açabilir; 4.2.2 sürümü etkilenmiyor. NPort W2150A-W4 ve W2250A-W4 cihazlarının web yönetim arayüzündeki CVE-2026-111548 (5,3) ise hizmetin yanıt vermez hale gelmesine yol açabilir. Vaultwarden'da (TR-26-1416) daha önceki bir SSRF düzeltmesinin atlatılmasına yol açan CVE-2026-116678 (5,8), 1.37.0 sürümüyle kapatıldı. Yerli ürün DefterAsist Mali Müşavir Platformu bildiriminde (TR-26-1420) ise depolanmış siteler arası betik çalıştırma (XSS) açığı CVE-2026-16020 (5,4) duyuruldu. 27 Ekim 2026 tarihine kadarki sürümleri etkileyen açık, oturum açmış bir kullanıcı ve başka bir kullanıcının etkileşimini gerektiriyor; SGB en az 2026.10.27 sürümüne yükseltmeyi öneriyor.

Türkiye açısından

Bildirimler SGB'nin resmi uyarıları; DefterAsist ise listedeki yerli ürün. Bildirimlerde Türkiye'deki kurumların bu açıklardan etkilendiğine ya da açıkların istismarına dair bir bilgi yer almıyor. Ürünleri kullanan kurum sayısı bilinmiyor.

FortiOS, TeamViewer ve Veeam kullanan kurumların sürümlerini kontrol edip üreticinin önerdiği sürüme geçmesi gerekiyor. Thunderbird kullanıcılarının 159 ya da 153.6 sürümlerine, DefterAsist kullanan mali müşavirlik bürolarının ise 2026.10.27 ve sonrasına güncelleme yapması önem taşıyor.

Kaynaklar

Kapak görseli (temsili): rack kabinde ağ kabloları; Fortinet, TeamViewer, Veeam ya da SGB görüntüsü değildir — Wikimedia Commons, kamu malı (kırpıldı, 1200×675 küçültüldü).