T.C. Siber Güvenlik Başkanlığı (SGB), 3 Kasım 2026 tarihinde TR-26-1443, TR-26-1444, TR-26-1445, TR-26-1446 ve TR-26-1447 kodlarıyla 5 yeni güvenlik bildirimi yayımladı. Toplam 24 ortak açık kimliği (CVE) içeren bu bildirimlerde, bildirimlerde ManageEngine Password Manager Pro ve PAM360'taki kod çalıştırma açığı ile CVSS puanı 9,8 olan iki WordPress eklenti açığı öne çıkıyor.
Listelenen 24 açığın hiçbiri ABD siber güvenlik ajansı CISA'nın Bilinen İstismar Edilen Açıklar (KEV) kataloğunda yer almıyor ve bu açıkların gerçek saldırılarda kullanıldığına dair bir bildirim bulunmuyor. Welcart e-Commerce eklentisindeki açık için ise CVE kaydı, istismar ayrıntılarının kamuya açık olduğunu belirtiyor.
ManageEngine: Parola yöneticisinde ve günlük analizinde kod çalıştırma
TR-26-1445 kodlu bildirim, Zoho Corporation'ın kurumsal BT yönetimi markası ManageEngine'in yazılımlarındaki 2 açığı kapsıyor. Ayrıcalıklı hesap yönetimi yazılımları Password Manager Pro ve PAM360'taki CVE-2026-18199 (CVSS 8,8), kimliği doğrulanmış uzaktan kod çalıştırma açığı. ManageEngine'e göre oturum açmış bir saldırgan sunucuda işletim sistemi komutları çalıştırabiliyor. Password Manager Pro'nun 13236 öncesi ve PAM360'ın 8601 öncesi derlemeleri etkileniyor; düzeltmeler 31 Temmuz ve 30 Temmuz 2026'da yayımlandı.
Diğer açık CVE-2026-8923 (CVSS 8,7), EventLog Analyzer ve Log360 günlük analizi yazılımlarında bulunuyor. Günlük iletme ve günlük filtreleme modülü yetkisi olan, oturum açmış bir teknisyen sunucuda kod çalıştırabiliyor. 13062 öncesi derlemeler etkileniyor; açık 6 Temmuz 2026'da 13062 derlemesiyle kapatıldı. Yani düzeltmeler üreticiden Temmuz'da çıktı, SGB bildirimi 3 Kasım 2026'da yayımlandı.
WordPress: Beş eklentide açık, ikisi 9,8 puan
TR-26-1443 kodlu bildirimde WordPress eklentilerine ait 5 açık listelendi. Bunlardan ikisinin CVSS puanı 9,8:
- s2Member üyelik eklentisinde (CVE-2026-86596, CVSS 9,8), CVE açıklamasına göre özel düzey erişimi olan, oturum açmış bir saldırgan sunucuda kod çalıştırabiliyor. 260927 ve önceki sürümler etkileniyor; WordPress.org'daki güncel sürüm 261017.
- Ultra Addons for Contact Form 7 eklentisinde (CVE-2026-102435, CVSS 9,8), kimliği doğrulanmamış bir saldırgan sunucudaki dosyaları silebiliyor; CVE kaydına göre doğru dosyanın silinmesi uzaktan kod çalıştırmaya yol açabiliyor. Bunun için PDF Generator ekinin etkin ve formun PDF üretimine ayarlı olması gerekiyor. 3.5.54 ve önceki sürümler etkileniyor; güncel sürüm 3.5.57.
- WP Fastest Cache eklentisinde (CVE-2026-111464, CVSS 5,9), yalnızca alt dizin tipi WordPress Multisite kurulumlarında ve herkese açık kayıt etkinse, en son kaydolan kullanıcının kullanıcı adı ve parolası önbellek dosyasından okunabiliyor. 1.5.3 ve önceki sürümler etkileniyor; güncel sürüm 1.5.4.
- Product Gallery Slider for WooCommerce eklentisindeki yetkilendirme eksikliği (CVE-2026-120318, CVSS 3.1 puanı 7,2), Mağaza Yöneticisi rolündeki bir kullanıcının yönetici yetkisine yükselmesine yol açabiliyor. 2.3.23 ile 2.3.26 öncesi sürümler etkileniyor; güncel sürüm 2.3.27.
- Welcart e-Commerce eklentisindeki siteler arası betik çalıştırma (XSS) açığı CVE-2026-120597 (CVSS 4,3), 2.12.7 sürümüyle giderildi.
Fastify: Beş pakette düzeltme
Node.js için açık kaynak web çatısı Fastify bileşenlerini ilgilendiren TR-26-1447 bildiriminde 5 açık yer aldı. En yüksek puanlı açık, @fastify/http-proxy paketindeki CVE-2026-120213 (CVSS 9,1). Kimliği doğrulanmamış bir saldırgan, uygulamanın izin verdiği yol öneki dışındaki üst sunucu adreslerine ulaşabiliyor; üst sunucuya bağlı olarak bu, sunucu taraflı istek sahteciliği (SSRF) ya da yetki atlatma anlamına gelebiliyor. 9.0.0–11.6.5 sürümleri etkileniyor, düzeltme 11.6.6'da. Benzer bir önek dışına çıkma açığı @fastify/reply-from paketinde (CVE-2026-117518, CVSS 8,2) 12.8.1 sürümüyle kapatıldı. Ayrıca @fastify/multipart 10.1.7 sürümünde hizmet engelleme, @fastify/secure-session 8.4.2 sürümünde imza doğrulama atlatma ve @fastify/cors 11.4.0 sürümünde hizmet engelleme açığı giderildi; cors açığı yalnızca varsayılan olmayan onSend kancası seçeneği kullanıldığında ortaya çıkıyor.
Android Automotive OS ve Dell OpenManage Enterprise
TR-26-1446 bildiriminde, Google'ın araçlar için geliştirdiği Android Automotive OS'e (AAOS) ait 4 açık yer alıyor. Google'ın 2 Kasım 2026 tarihli AAOS Kasım bülteni toplam 8 açığı listeliyor; hepsi yüksek önem düzeyinde ve 2026-11-01 güvenlik yaması düzeyiyle kapatılıyor. Bültene göre tam AAOS güncellemesi için Android Kasım 2026 güvenlik bültenindeki 2026-11-05 yama düzeyinin de uygulanması gerekiyor.
TR-26-1444 bildirimi, Dell OpenManage Enterprise yönetim yazılımındaki 8 açığı kapsıyor. En yüksek puanlı CVE-2026-94349 (CVSS 8,0), aynı ağ kesimindeki düşük yetkili bir saldırganın işletim sistemi komutu çalıştırmasına yol açabiliyor. 4.8.0 öncesi sürümler etkileniyor; 8 açığın tamamı Dell'in 19 Ekim 2026 tarihli DSA-2026-467 bülteniyle 4.8.0 sürümünde giderildi. Aynı Dell bülteninin farklı açıkları SGB'nin 2 Kasım bildirimleri arasında da yer almıştı.
Ne yapmalı
SGB, ilgili üretici bültenlerinin incelenmesini ve gerekli güncellemelerin ivedilikle yapılmasını tavsiye ediyor. Buna göre:
- Password Manager Pro derlemesini 13236'ya, PAM360'ı 8601'e, EventLog Analyzer ve Log360 sistemlerini ise 13062 ya da sonraki derlemelere yükseltin.
- WordPress sitelerinde s2Member, Ultra Addons for Contact Form 7, WP Fastest Cache, Product Gallery Slider for WooCommerce ve Welcart e-Commerce eklentilerini güncel sürümlere yükseltin.
- Fastify kullanan projelerde @fastify/http-proxy'yi 11.6.6, @fastify/reply-from'u 12.8.1, @fastify/multipart'ı 10.1.7, @fastify/secure-session'ı 8.4.2 ve @fastify/cors'u 11.4.0 ya da sonraki sürümlere yükseltin.
- Dell OpenManage Enterprise sunucularını 4.8.0 veya üzerine yükseltin.
- Android Automotive OS kullanan araç ve cihazlar için, Google'ın önerdiği gibi cihaz yazılımı güncellemelerini cihaz tedarikçisinden takip edin.
Türkiye açısından: Bildirimler ulusal siber güvenlik otoritesi SGB'den geldi. Türkiye'de bu ürünleri kullanan ya da açıklardan etkilenen kurum ve internet sitesi sayısı açıklanmadı.
Kaynaklar
- Siber Güvenlik Başkanlığı — TR-26-1445 Zohocorp ManageEngine Güvenlik Bildirimi, 3 Kasım 2026
- Siber Güvenlik Başkanlığı — TR-26-1443 WordPress Eklenti Güvenlik Bildirimi, 3 Kasım 2026
- Siber Güvenlik Başkanlığı — TR-26-1447 Fastify Güvenlik Zafiyeti, 3 Kasım 2026
- Siber Güvenlik Başkanlığı — TR-26-1446 Android Güvenlik Bildirimi, 3 Kasım 2026
- Siber Güvenlik Başkanlığı — TR-26-1444 Dell OpenManage Enterprise Güvenlik Bildirimi, 3 Kasım 2026
- ManageEngine — CVE-2026-18199 Password Manager Pro ve PAM360 güvenlik duyurusu
- ManageEngine — CVE-2026-8923 EventLog Analyzer ve Log360 güvenlik duyurusu
- CVE Program — CVE-2026-86596 (s2Member)
- CVE Program — CVE-2026-102435 (Ultra Addons for Contact Form 7)
- WordPress.org — WP Fastest Cache eklenti sayfası
- OpenJS Foundation CNA — Güvenlik duyuruları
- CVE Program — CVE-2026-120213 (@fastify/http-proxy)
- Google — Android Automotive OS Update Bulletin, Kasım 2026, 2 Kasım 2026
- Dell — DSA-2026-467 OpenManage Enterprise güvenlik güncellemesi, 19 Ekim 2026
- CISA — Bilinen İstismar Edilen Açıklar (KEV) kataloğu
Kapak görseli (temsili): Ekranda kullanıcı adı ve parola alanları — Santeri Viinamäki / Wikimedia Commons, CC BY-SA 4.0 (kırpıldı, küçültüldü).
