Antenleri ve ışıkları yanan beyaz bir kablosuz yönlendirici (temsili görsel)

Siber Güvenlik Başkanlığı (SGB), 2 Kasım 2026'da TR-26-1435, TR-26-1436, TR-26-1437, TR-26-1438 ve TR-26-1439 kodlu 5 güvenlik bildirimi yayımladı. Bildirimlerde Dell OpenManage Enterprise, Traefik, Wavlink, Moodle ve Gitea ürünlerine ait toplam 31 CVE (ortak açık kimliği) kodu yer alıyor. En yüksek puanlar Wavlink kablosuz ağ cihazlarında: 9 açığın 5'i CVSS ölçeğinde 10 üzerinden 10 puan taşıyor.

31 kaydın hiçbiri ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı'nın (CISA) bilinen istismar edilmiş açıklar kataloğunda (KEV) bulunmuyor; kaynaklarda bu açıkların gerçek saldırılarda kullanıldığına dair bilgi yok. Ancak Wavlink açıklarının CVE kayıtlarında, istismar ayrıntılarının kamuya açıklandığı belirtiliyor.

Wavlink: 9 komut enjeksiyonu açığı

TR-26-1437 kodlu bildirimdeki 9 açığın tamamı işletim sistemi komut enjeksiyonu türünde ve CVE kayıtlarına göre uzaktan kullanılabiliyor. Puanlar 9,4 ile 10 arasında; CVE-2026-120198 ve CVE-2026-120345 dahil 5 kayıt 10, CVE-2026-120196 dahil 4 kayıt 9,4 puan aldı. Etkilenen modeller WN579X3-D, WL-WN530BE1-A, WN701AE, WN553X1-B, WN536AX6-A ve WN551X3-A. Kayıtlarda üreticiyle duyurudan önce iletişime geçildiği yazıyor; ancak kaynaklarda düzeltilmiş bir yazılım sürümü yer almıyor. SGB, gerekli güncellemelerin ivedilikle yapılmasını tavsiye ediyor.

Moodle: Öğretmen yetkisiyle sunucu dosyalarına erişim

TR-26-1438 kodlu bildirim, açık kaynaklı öğrenme yönetim sistemi Moodle'daki 4 açığı kapsıyor. CVE kayıtlarına göre 5.3.0, 5.2.0–5.2.4, 5.1.0–5.1.8, 5.0.0–5.0.11 sürümleri ile 4.5.15 ve öncesi etkileniyor. En yüksek puanlı CVE-2026-119553 (7,1), Blackboard soru içe aktarma biçimindeki bir dizin geçişi açığı. Soru içe aktarma ya da ders etkinliği düzenleme yetkisi olan bir öğretmen, hazırlanmış bir arşiv dosyasıyla yapılandırma dosyası gibi sunucu dosyalarını kendi taslak alanına kopyalayabiliyor.

Diğer üç kayıt şöyle: harici veritabanı kayıt eklentisinde, düzenleme yetkili öğretmenin MySQL/MariaDB kullanan sistemlerde zamanlanmış eşitleme sırasında veri okumasına yol açan SQL enjeksiyonu (CVE-2026-119554, 6,0); düzenleme yetkisi olmayan öğretmenlerin başka grupların not geri bildirimlerini, kullanıcı adlarını ve e-posta adreslerini görebildiği bilgi ifşası (CVE-2026-119555, 5,3); derse kayıtlı öğrencilerin gizlenmiş not kalemlerini görebilmesi (CVE-2026-119556, 5,3). CVE kayıtlarında düzeltilmiş sürüm belirtilmiyor.

Gitea: 8 açık 28.3.0 sürümünde kapatıldı

TR-26-1439 kodlu bildirimdeki 8 Gitea açığının tamamı, Gitea ekibinin 1 Kasım 2026'da yayımladığı 28.3.0 sürümünde düzeltildi. Gitea, tüm kullanıcılara en kısa sürede yükseltme yapmalarını önemle tavsiye ediyor. CVE-2026-120263, varsayılan olarak kapalı olan otomatik OAuth2 hesap bağlama ayarı açık ve kayıt etkinse, bir saldırganın yönetici dahil başka bir kullanıcının hesabıyla parolasız oturum açmasına imkân veriyor. CVE-2026-113429 ise eski Actions eser yüklemeleri üzerinden depolanan siteler arası betik çalıştırma (XSS) açığı. Diğer kayıtlar erişim belirteci kısıtlarının atlatılmasını, özel depoların listelenmesini, imzalı commit taklidini, Helm chart yüklemesiyle hizmet engellemeyi ve arşivlenmiş depolarda API üzerinden değişiklik yapılmasını kapsıyor. SGH, SGB'nin Gitea için yayımladığı TR-26-1329 bildirimini 15 Ekim 2026'da haberleştirmişti.

Traefik ve Dell OpenManage Enterprise

TR-26-1436 kodlu bildirimdeki 3 Traefik açığı 3.7.15 sürümünde giderildi. CVE-2026-119574 (8,2), deneysel FastProxy özelliğinde kimlik doğrulaması gerektirmeden Traefik sürecinin çökertilmesine, yani hizmet engellemeye yol açıyor. CVE-2026-119572 (7,0), Kubernetes Ingress NGINX sağlayıcısında karşılıklı TLS (mTLS) korumasının sessizce devre dışı kalmasına ve istemci sertifikası isteyen arka uç sistemlere kimlik doğrulamasız erişime neden olabiliyor. Üçüncü kayıt CVE-2026-119573 düşük önemde (2,1).

TR-26-1435 kodlu bildirimdeki 7 Dell OpenManage Enterprise açığı, 4.8.0 öncesi sürümleri etkiliyor. Dell'in 19 Ekim 2026 tarihli DSA-2026-467 bültenine göre düzeltme 4.8.0 ve sonraki sürümlerde. Listede, bitişik ağ erişimi olan düşük yetkili bir saldırganın kod çalıştırmasına yol açabilen CVE-2026-91917 (8,0), kimlik doğrulaması gerektirmeden oturum çalınmasına neden olabilen CVE-2026-91914 (7,1) ve sunucu taraflı istek sahteciliği (SSRF) açığı CVE-2026-111500 (5,4) bulunuyor.

Ne yapmalısınız

Türkiye açısından

Bildirimler, SGB'nin Türkiye'deki kullanıcı ve sistem yöneticilerine yönelik resmi güvenlik bildirimleri arasında yer alıyor. Türkiye'de bu ürünleri kullanan ya da açıklardan etkilenen kurum sayısı açıklanmadı; kaynaklarda Türkiye'deki kullanıcı ya da kurumlara yönelik belirli bir saldırı bilgisi de bulunmuyor. Wavlink'in düzeltilmiş yazılım yayımlayıp yayımlamadığı ve Moodle için düzeltilmiş sürüm numaraları da kaynaklarda yer almıyor.

Kaynaklar

Kapak görseli (temsili): «Wi-fi router» — Solijon Solayev, CC BY-SA 4.0, Wikimedia Commons (1200×675 kırpıldı).