Veri merkezi kabininde fiber kablolu Juniper yönlendirici şasisi (temsili)

Düzeltme (30 Ekim 2026, 13.03 TSİ): İlk sürümde bildirimlerdeki açıklar için Veeam dahil hiçbir üreticinin saldırı bildirmediğini yazmıştık. Bu doğru değil: Drupal, TR-26-1424'te listelenen CVE-2026-118539 için 28 Ekim'de yayımladığı SA-CONTRIB-2026-254 duyurusunda Commerce Core modülündeki erişim denetimi atlatma açığının aktif olarak istismar edildiğini açıkladı. Commerce Core 3.x kullananlar 3.3.13'e, önceki sürümleri kullananlar 8.x-2.41'e geçmeli; Drupal sitelerin siparişlerini tutarsızlık açısından denetlemesini öneriyor. Açık, 30 Ekim itibarıyla CISA KEV kataloğunda yer almıyor.

T.C. Siber Güvenlik Başkanlığı (SGB), 30 Ekim 2026 tarihinde TR-26-1423 ile TR-26-1431 kodları arasında 9 güvenlik bildirimi yayımladı. Toplam 349 CVE kaydını kapsayan duyurularda Juniper'ın yönlendirici yazılımındaki 9,8 puanlık iki açık ile 9.x sürümüne düzeltme gelmeyecek Veeam Management Pack'teki 9,3 puanlık açık öne çıkıyor. WordPress eklentilerinde de 9,8 puanlı üç açık listelendi.

Bildirimlerde bahsi geçen 349 güvenlik açığının hiçbiri ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı'nın (CISA) Bilinen İstismar Edilen Açıklar (KEV) kataloğunda bulunmuyor. Juniper açıkların kötü niyetli kullanımından haberdar olmadığını, Kaspersky ise gerçek ortamda bir istismar kanıtı görmediğini belirtti. Veeam açıkları kendi iç testlerinde tespit ettiğini belirtti. Drupal ise TR-26-1424'te yer alan Commerce Core açığı CVE-2026-118539'un aktif olarak istismar edildiğini 28 Ekim tarihli SA-CONTRIB-2026-254 duyurusunda açıkladı; yani KEV'de yer almamak saldırı olmadığı anlamına gelmiyor.

Juniper: Yönlendiricide root ve yönetici yetkisi riski

SGB'nin TR-26-1426 kodlu bildirimi, Juniper Networks'ün Session Smart Router ve Session Smart Conductor ürünlerindeki 18 açığı kapsıyor. JSA112183 bülteniyle duyurulan açıklara karşı geçici bir çözüm bulunmuyor; düzeltmeler 7.0.5, 7.1.7, 7.2.3 ve sonraki sürümlerde sunuldu.

Session Smart Conductor üzerindeki CVE-2026-103406 (CVSS 9,8), kimlik doğrulaması bulunmayan uzaktaki bir saldırganın özel hazırlanmış bir cihaz tanımlayıcısıyla root yetkisinde komut çalıştırmasına (işletim sistemi komut enjeksiyonu) yol açabiliyor. Session Smart Router ürünündeki CVE-2026-103409 (9,8) açığı ise kimlik doğrulaması olmayan bir saldırganın ağ üzerinden yönetici yetkisi elde etmesine imkan tanıyor; ancak bu açık yalnız cihaz Mist ya da Conductor'a dahil edilmeden önce geçerli oluyor ve sisteme dahil edildikten sonra kullanılamıyor. Aynı ürünün DHCP istemcisindeki CVE-2026-103408 (8,8) yığın taşması açığı, aynı yerel ağdaki kimlik doğrulaması olmayan bir saldırganın kötü niyetli DHCP yanıtıyla uzaktan kod çalıştırmasına izin veriyor.

Veeam Management Pack: 9.x sürümlerine düzeltme gelmeyecek

TR-26-1428 kodlu bildirim, Veeam Management Pack for Microsoft System Center ürününde saptanan 3 güvenlik açığına odaklanıyor. CVE-2023-22793 (CVSS 4.0 puanı 9,3), kimlik doğrulaması olmayan saldırganların Veeam Virtualization Extensions hizmeti çalışan sunucularda uzaktan kod çalıştırmasına yol açıyor. CVE-2026-107238 (8,7) açığı oturum açmış bir etki alanı kullanıcısının Collector hizmeti sunucusunda LocalSystem yetkisiyle kod çalıştırmasına, CVE-2026-107239 (8,8) ise «Veeam Virtualization Extensions Users» grubunun üyelerinin aynı sunucuda uzaktan kod çalıştırmasına imkan tanıyor.

Veeam Backup & Replication 13 uyumluluk yaması dahil 9.1 ve önceki tüm 9.x sürümleri etkilenirken, Veeam 9.x dalı için düzeltme yayımlamayacağını açıkladı. Düzeltme 13.1 sürümünde (derleme 13.1.0.334) geldi; 9.x kullananların bu sürüme geçmesi gerekiyor. Veeam'e göre desteklenmeyen sürümler test edilmedi ve savunmasız kabul edilmeli. Veeam, SGB'nin 28 Ekim 2026 tarihli bildirimlerinde de Veeam Backup for Microsoft 365 ile yer almıştı.

Telerik, Edge, Keycloak ve Kaspersky

TR-26-1431 bildiriminde Progress Telerik Document Processing Libraries kütüphanelerindeki 6 açık ele alındı. 2026.3.1027 sürümüyle kapatılan açıklardan CVE-2026-118039 (7,5), kimlik doğrulaması bulunmayan saldırganların, işlenen ya da PDF'e aktarılan hazırlanmış bir SVG görseliyle XML dış varlık (XXE) yöntemiyle sunucudaki yerel dosyaları okumasına imkan veriyor (etkilenen sürümler 2024.3.802 ve sonrası). Diğer sorunlar yapay zekâ ajan araçlarında dizin geçişi (CVE-2026-118038), PDF imza doğrulama hatası ve üç ayrı hizmet engelleme açığından oluşuyor.

TR-26-1429 numaralı Microsoft Edge bildirimi 10 açık içeriyor; en yüksek puan 8,8 ile uzaktan kod çalıştırma (CVE-2026-96192), güvenlik özelliği atlatma ve yetki yükseltme açıklarında. Düzeltmeler CVE'ye göre 154.0.4258.37 ile 156.0.4314.50 arasındaki sürümlerde geldi; Microsoft 29 Ekim'de kararlı kanalda 156.0.4314.56 sürümünü yayımladı. TR-26-1427 bildirimindeki Red Hat Keycloak tarafında oturum açma kısıtlarının atlatılması ve tek kullanımlık şifre (HOTP) yarış durumu gibi 4 orta düzey açık bulunuyor. Red Hat sayfalarında 30 Ekim itibarıyla Red Hat Build of Keycloak için yayımlanmış bir düzeltme bulunmuyor, Red Hat Single Sign-On 7 ise etkilenmiyor. SGB yine de güncellemelerin ivedilikle yapılmasını öneriyor. TR-26-1430 bildirimindeki Kaspersky Network Agent for Windows modülünü etkileyen CVE-2026-88941 (5,2) açığının düzeltmesi Network Agent for Windows 17.0.0.3992 sürümünde; Kaspersky Security Center Windows kullanıcılarının önce Administration Server 15.1.0.28509 sürümünü kurması gerekiyor.

WordPress, Drupal ve Linux çekirdeği

TR-26-1425 bildiriminde WordPress eklentilerinde yer alan 86 güvenlik açığı listelendi. 9,8 puanlı açıklar GEO my WordPress (4.5.5.4 ve önceki; PHP nesne enjeksiyonu), Bot for Telegram on WooCommerce (1.3.0 ve önceki; hesap ele geçirme) ve Contact Manager (9.1.2 ve önceki; kimlik doğrulamasız dosya yükleme) eklentilerinde kaydedildi. SGB, WordPress için gerekli önlemlerin ivedilikle alınmasını öneriyor.

TR-26-1424 bildiriminde Drupal modülleri ve çekirdeğinde 104 açık paylaşıldı. Block AJAX, Ffmpeg Image Toolkit ve Commerce Core modüllerindeki üç açık «Highly critical» sınıfında yer alırken, çekirdekteki SA-CORE-2026-015 ve 016 duyuruları siteler arası betik çalıştırma (XSS) açıklarını kapsıyor; çekirdek düzeltmeleri 10.6.19, 11.3.19 ve 11.4.10 sürümlerinde. Drupal'a göre Commerce Core'daki erişim denetimi atlatma açığı (CVE-2026-118539) aktif olarak istismar ediliyor; düzeltme 3.x için 3.3.13, önceki sürümler için 8.x-2.41 sürümünde. Çekirdekteki uzaktan kod çalıştırma açığı SA-CORE-2026-014 ise 15 Ekim'de duyurulmuştu. 5 kayıt artık desteklenmeyen modüllere ait ve bunlar için düzeltme yok. TR-26-1423 numaralı bildirimde ise Linux çekirdeği için 117 açık yayımlandı; kayıtlarda CVSS puanı verilmeyen bu açıkların düzeltmeleri dağıtımların çekirdek güncellemeleriyle geliyor. 9,8 puanlı Linux TCP açığı CVE-2026-98432 bu listede yer almıyor; SGB onu ayrı TR-26-1422 bildirimiyle duyurmuştu.

Sistem yöneticileri ne yapmalı

Sistem yöneticilerinin uygulaması gereken temel adımlar şunlardır:

Türkiye açısından bu yazılımları kullanan veya açıklardan etkilenen kurumların sayısı açıklanmadı. Red Hat'in Keycloak düzeltmesini ne zaman sunacağı ve etkilenen WordPress eklentilerinin tümüne ait güncel sürüm detayları ise bilinmiyor.

Kaynaklar

Kapak görseli (temsili): veri merkezi kabininde Juniper yönlendirici; bildirimlerdeki Session Smart Router'ı ya da belirli bir cihazı göstermez — RobH / Wikimedia Commons, CC BY-SA 3.0 (16:9 kırpıldı, 1200×675 küçültüldü).