Siyah zemin üzerinde beyaz Next.js yazı logosu (temsili)

Siber Güvenlik Başkanlığı (SGB), 23 Ekim 2026'da saat 10:23 ile 10:59 (TSİ) arasında Next.js, WordPress eklentileri, KNIME Business Hub ve OpenStack Ironic için toplam 30 güvenlik açığını kapsayan dört bildirim yayımladı; bu açıklardan hiçbirinin gerçek saldırılarda kullanıldığı bildirilmedi. Bildirimler Next.js ile Server Actions kullanan yazılımcıları, belirli WordPress eklentilerini çalıştıran yöneticileri, KNIME Business Hub veri ekiplerini ve OpenStack Ironic ile çıplak metal (bare metal) sunucu sağlayan operatörleri ilgilendiriyor.

Next.js (TR-26-1387)

TR-26-1387 bildiriminde yer alan CVE-2026-94482 zafiyeti, en az bir Server Action içeren App Router uygulamalarını etkiliyor. Özel hazırlanmış istekler aşırı işlemci tüketimine yol açarak aynı süreçteki diğer istekleri engelliyor ve hizmet kesintisi oluşturuyor; açık kod çalıştırma ya da veri sızıntısı içermiyor. GitHub'ın High derecesi ve CVSS 4.0 8,2 puanı verdiği açık, 13.0.0 ile 15.5.27 ve 16.0.0 ile 16.4.0 arasındaki sürümleri kapsıyor. Pages Router kullanan ve Server Action içermeyen App Router uygulamaları etkilenmiyor. Düzeltme 15.5.28 ve 16.4.1 sürümlerinde; danışmaya göre güncelleme dışında geçici bir çözüm yok. SGB'nin 5 Ekim 2026'daki TR-26-1248 Next.js bildiriminde duyurulan 16.3.8 ve 15.5.27 sürümleri de bu aralıkta kaldığından, o tarihte güncelleme yapanların da 15.5.28 ya da 16.4.1'e geçmesi gerekiyor.

WordPress eklentileri (TR-26-1384)

TR-26-1384 bildirimi 13 farklı WordPress eklentisinde toplam 25 açığı kapsıyor. Öne çıkan sorunlardan Advanced Custom Fields: Extended eklentisinde (0.9.2.8 öncesi) yer alan CVE-2026-94267, ön yüz form eyleminde yetki kontrolü eksikliğinden kaynaklanıyor. WPScan'in CVSS 9,0 puan verdiği açık, yalnız sitede hedef yazıyı ve içeriği ziyaretçinin gönderdiği değerlerden alan bir yazı güncelleme formu yayımlanmışsa, kimliği doğrulanmamış bir ziyaretçinin yazıların üzerine yazmasına ve bu yolla sunucuda kod çalıştırmasına imkân veriyor. Aynı eklentideki CVE-2026-94268 (WPScan 8,1) ise iki ayrı ön yüz formu yayımlanmış sitelerde yönetici hesabının ele geçirilmesine yol açabiliyor. Eklentideki 5 açığın düzeltmesi 0.9.2.8 sürümünde. WPScan, açığın ayrıntılarını gösteren kavram kanıtını 21 Kasım 2026'da paylaşacağını belirtiyor. LiteSpeed Cache'in 7.9.2 öncesi sürümlerindeki üç açıktan ikisi, kimliği doğrulanmamış kullanıcıların kalıcı betik (stored XSS) yerleştirmesine imkân veriyor; düzeltme 7.9.2'de. Otter Blocks 3.2.8 öncesinde kalıcı betik çalıştırma ve parola korumalı içeriklerin REST API üzerinden okunması hataları giderildi. Music Store eklentisinde kimliği doğrulanmamış dosya okuma (CVE-2026-115497) ve CleanTalk Anti-Spam eklentisinde kalıcı betik (CVE-2026-109198) açıkları bulunuyor; bu iki eklenti için düzeltilmiş sürüm CVE kayıtlarında belirtilmiyor. JetBackup için bildirilen açık yönetici yetkisi gerektirirken Speed Optimizer, Essential Addons for Elementor, User Profile Builder, Download Monitor, Popup Builder, Depicter ve Page Restriction eklentilerinde de çoğu yönetici, editör ya da katkıcı yetkisi gerektiren açıklar listelendi.

KNIME Business Hub ve OpenStack Ironic

TR-26-1386 bildirimi, KNIME Business Hub 1.19.0 öncesindeki 3 açığı kapsıyor. En yüksek puanlı CVE-2026-115502'de (CVSS 4.0 6,3), DataApp için oluşturulan «giriş gerektirmeyen bağlantı»ya erişimi olan herkes aynı bağlantıyla başka kullanıcıların oluşturduğu işleri listeleyip bunlara erişebiliyor; KNIME geçici önlem olarak bu bağlantıların kaldırılmasını öneriyor. Diğer iki açık, uzaktan iş akışı düzenleme özelliği üzerinden sunucu kaynaklarının tüketilmesi (5,3) ve hassas çerezlerde güvenlik özniteliklerinin eksik olmasıyla (2,1) ilgili. Üçü de 1.19.0 sürümünde düzeltildi. OpenStack Ironic için yayımlanan TR-26-1385'teki CVE-2026-115638 ise 39.0.1'e kadarki Ironic sürümlerini etkiliyor: Açıldığında çok büyük veri üreten bir yapılandırma sürücüsü (configdrive), yani «gzip bombası», conductor hizmetinde kesintiye yol açabiliyor; Launchpad kaydına göre conductor bu sürücüyü boyut sınırı olmadan açıyor. Sorunu yalnız düğüm dağıtmaya yetkili kiracılar tetikleyebiliyor. CVE kaydında CVSS 3.1 puanı 4,3 (Medium); OpenStack ise hatayı Launchpad'de «High» önemde sınıflandırdı. Düzeltme ana dal için önerildi ve çalışma sürüyor; düzeltilmiş Ironic sürümü henüz yayımlanmadı.

Kim ne yapmalı

30 açığın hiçbiri CISA'nın gerçek saldırılarda kullanıldığı bilinen açıklar kataloğunda (KEV) yer almıyor. SGB, kullanıcı ve sistem yöneticilerine ilgili dokümanları incelemelerini ve gerekli güncellemeleri yapmalarını tavsiye ediyor. Üretici kayıtlarına göre yapılması gerekenler:

Türkiye'de bu açıklardan etkilenen site, sunucu ya da kurum sayısına ilişkin bir bilgi paylaşılmadı. SGB'nin aynı gün yayımladığı Node.js bildirimi (TR-26-1388) ayrı bir haberde.

Kaynaklar

Kapak (temsili): Next.js logosu, Vercel, Wikimedia Commons, CC BY-SA 4.0 (renkleri ters çevrilerek siyah zemine yerleştirildi, 1200×675). Next.js adı ve logosu Vercel'in ticari markasıdır.