IBM binası, ApacheCon sahnesi, ASUS yönlendirici ve MobaXterm ekranından oluşan kolaj (temsili)

Siber Güvenlik Başkanlığı (SGB), 20 Ekim 2026 sabahı IBM, Apache, MISP, ASUS ve MobaXterm için toplam 71 güvenlik açığını kapsayan beş güvenlik bildirimi yayımladı; bu açıklardan hiçbirinin gerçek saldırılarda kullanıldığı bildirilmedi, en yüksek puan 8,8. Yayınlanan bildirimler ev kullanıcılarından sistem yöneticilerine, kurumsal BT ekiplerinden SOME ve SOC birimlerine kadar farklı kesimleri ilgilendiriyor.

IBM (TR-26-1357)

IBM ürünlerine yönelik TR-26-1357 kodlu bildirim 31 açığı içeriyor. Açıkların 15'i IBM MQ bileşenlerinde, 7'si Concert, 4'ü Cloud Pak System platformunda bulunurken kalan 5 açık diğer kurumsal ürünlere dağılıyor. Öne çıkan açıklar arasında IBM MQ üzerinde MQPUT işlemlerinde oluşan yığın taşması CVE-2026-10572 (8,8), TRIRIGA 5.0.0–5.0.8 sürümlerinde oturum açmış saldırganın kod çalıştırmasına yol açan açık CVE-2026-107400 (8,8) ve Verify Identity Access cihazındaki gömülü kimlik bilgisi zafiyeti CVE-2026-109126 (8,8, fiziksel yakınlık gerektiriyor) yer alıyor. Langflow OSS paketinde ise başka kullanıcının mesajlarını silmeye, değiştirmeye ve oturumunu ele geçirmeye izin veren CVE-2026-107366 (8,3) açığı bulunuyor. İlgili düzeltmeler IBM güvenlik bültenlerinde paylaşıldı. Başkanlık daha önce IBM ürünleri için TR-26-1303 bildirimini yayımlamıştı.

Apache (TR-26-1361)

TR-26-1361 kodlu Apache bildiriminde 31 güvenlik açığı listelendi. Apache Camel projesinde 14 açık duyurulurken en yüksek puanlı açık kod enjeksiyonuna yol açan CVE-2026-83531 (8,8) oldu; bu zafiyet 4.23.0, 4.22.1 ve 4.18.5 sürümlerinde kapatıldı, 4.14.x ve öncesi sürümlerin destek dışı kaldığı bildirildi. CISA, Camel'ın SFTP, SMB ve Azure Files bileşenlerindeki üç dizin geçişi açığı için kavram kanıtı (PoC) bulunduğunu kaydetti; aktif istismar bildirilmedi. Bildirimde ayrıca Kylin için 9 açık (5.0.5 sürümüne geçilmeli), Answer için API anahtarlarının günlük kayıtlarına yazılması dahil 6 açık (2.0.3 sürümüne yükseltilmeli) ile Airflow'un Keycloak (0.7.0) ve Amazon (9.38.0) sağlayıcılarındaki giriş CSRF açıkları yer aldı. SGB geçmişte de Apache projelerine yönelik TR-26-1203 bildirimini paylaşmıştı.

MISP (TR-26-1359)

Tehdit istihbaratı paylaşım platformu MISP için yayımlanan TR-26-1359 bildiriminde 5 açık yer aldı. MISP 2.5.48 ve öncesi sürümlerde oturum açmış kullanıcıya gizli yapılandırma verilerinin dönmesine yol açan CVE-2026-112188 (7,1) ile misp-modules 3.0.12 ve öncesinde yer alan SSRF açığı CVE-2026-112991 öne çıktı. Düzeltmeler resmi GitHub deposunda yayımlandı. Kurum daha önce MISP platformu için TR-26-1249 güvenlik bildirisini duyurmuştu.

ASUS (TR-26-1360)

TR-26-1360 numaralı bildirim ASUS yazılım ve yönlendiricilerindeki 3 açığı kapsıyor. Bilgisayarlarda kullanılan Armoury Crate V3.0.0–V6.5.10 ve SE V2.1.17–V2.2.17 sürümlerinde yerel bir saldırganın DLL değiştirerek SYSTEM yetkisiyle kod çalıştırabildiği CVE-2026-102438 (8,5) açığı tespit edildi. ASUSWRT 386 ve 388 serisi yönlendiricilerde ise yerel ağdaki oturum açmış kullanıcının cihazı hizmet dışı bırakabilmesi (CVE-2026-17518, 8,2) ve 388 serisinde yakındaki yetkisiz bir kişinin cihaz bilgisini alabilmesi (CVE-2026-75753, 5,3) zafiyetleri açıklandı. Üç açık da yerel erişim, aynı ağda bulunma ya da fiziksel yakınlık gerektiriyor. SGB daha önce ASUS için TR-26-1232 bildirimini yayımlamıştı.

MobaXterm (TR-26-1363)

TR-26-1363 bildiriminde terminal yönetim yazılımı MobaXterm Portable Personal Edition 26.4 GA sürümündeki CVE-2026-112161 (8,5) açığı açıklandı. Yazılımın CygUtils64.plugin eklentisinde bütünlük denetimi yapmadığı, bu dosyaya yazma erişimi olan yerel bir saldırganın cygwin1.dll kütüphanesini değiştirerek kullanıcının yetki seviyesinde kod çalıştırabileceği belirtildi. Açık yetki yükseltmeye izin vermiyor.

Kim ne yapmalı

CISA'nın bilinen istismar kataloğunda bu 71 açıktan hiçbiri yer almıyor. Kullanıcı ve sistem yöneticilerinin şu adımları uygulaması tavsiye ediliyor:

Kaynaklar

Kapak görseli (temsili kolaj): IBM Sidney binası — Shkuru Afshar / Wikimedia Commons, CC BY-SA 4.0; ApacheCon Europe 2019 — newthinking communications / Wikimedia Commons, CC BY-SA 2.0; ASUS TUF yönlendirici — Dinkun Chen / Wikimedia Commons, CC BY-SA 4.0; MobaXterm ekran görüntüsü — Mobatek, Üretici ürün ekran görüntüsü (og:image; editoryal kullanım) (1200×675 kolaj olarak düzenlendi).