Arka ışıklı bir dizüstü bilgisayar klavyesinin yakın plan görüntüsü (temsili)

Siber Güvenlik Başkanlığı (SGB), 26 Ekim 2026'da 10:43–10:51 TSİ arasında Linux çekirdeği, Zimbra Collaboration, PraisonAI, DJI CrystalSky ve WordPress eklentileri için toplam 285 güvenlik açığını kapsayan beş bildirim yayımladı; bu açıklardan hiçbiri CISA'nın istismar edilen açıklar kataloğunda yer almıyor ve gerçek saldırılarda kullanıldığı bildirilmedi. Bildirimler WordPress site yöneticileri, Zimbra e-posta sunucusu işletenler, PraisonAI ile yapay zekâ ajanı çalıştıranlar ve Linux sistem yöneticilerini doğrudan ilgilendiriyor. SGB'nin aynı sabah yayımladığı AWS Multi Model Server bildirimi (TR-26-1395) ayrı bir haberde ele alındı.

WordPress eklentileri (TR-26-1394)

SGB'nin TR-26-1394 numaralı bildirimi 20'yi aşkın eklentide toplam 37 güvenlik açığını listeledi. Öne çıkan açıkların bir kısmı için saldırganın oturum açması gerekmiyor. asVereinbase eklentisinin 1.1.8 öncesi sürümlerinde kimliği doğrulanmamış bir saldırgan, yönetici dahil her kullanıcı olarak oturum açabiliyor; CISA'nın CVE kaydına eklediği CVSS 3.1 puanı 9,8. Prime Mover 2.2.1 ve öncesinde, kimliği doğrulanmamış bir saldırganın yorum yoluyla bıraktığı veri, yönetici dışa aktarma ya da geri yükleme yaptığında PHP nesne enjeksiyonuna yol açıyor. Wordfence'in 9,8 puan verdiği bu açık 2.2.2 sürümünde giderildi. Datawiza Proxy Auth Plugin 1.1.0'da ise kimliği doğrulanmamış bir saldırgan yönetici hesabı oluşturup oturum açabiliyor; düzeltme 1.1.1'de.

Ödeme tarafında, WP Stripe Checkout eklentisinin 1.2.2.62 öncesinde imzalama sırrı bulunmadığında ödeme yapılmadan tamamlanmış sipariş oluşturulabiliyor; Chikkili Google Pay India for WooCommerce 1.0.6 ve öncesinde de siparişler ödenmiş gösterilebiliyor ancak bu eklenti için düzeltilmiş bir sürüm kayıtlarda yer almıyor. GTM Server Side eklentisinin 2.1.48 öncesinde başka bir müşterinin sipariş ve kişisel verileri görüntülenebiliyor (GitHub CVSS 4.0 puanı 8,7). GiveWP'deki 5, GeoDirectory'deki 7 açık ve Duplicator'daki açık sırasıyla 4.19.0.1, 2.8.194 ve 5.0.0 sürümlerinde giderildi. aBlocks'ta ise Katkıcı (Contributor) yetkisine sahip kullanıcılar yetki yükseltebiliyor (Wordfence puanı 8,8); bu eklenti için de düzeltilmiş sürüm kayıtlarda yok. Listede 0.9.2.8 sürümünde düzeltilen ACF: Extended de var; bu eklenti SGH'nin 23 Ekim derlemesinde de yer almıştı.

Zimbra Collaboration (TR-26-1391)

SGB'nin TR-26-1391 bildirimindeki 15 açığın CVE kayıtlarını Rapid7 açtı. Rapid7, 14 Ekim 2026 tarihli yazısında Zimbra üzerinde 80'den fazla açık bulduğunu ve düzeltmelerin farklı takvimlerle sunulduğunu açıkladı. Rapid7'nin en yüksek puanı (CVSS 3.1 8,7) verdiği açıklar arasında CVE-2026-10632 ve CVE-2026-50053 var. İkisi zincirlendiğinde sıradan bir Zimbra hesabı olan saldırgan, hazırladığı bağlantıyı açan kullanıcının oturumunda JavaScript çalıştırıp e-postalarını okuyabiliyor. CVE-2026-10632 10.1.17'de giderildi; kayda göre bu sürüm zinciri engelliyor ama CVE-2026-50053 sürüyor. CVE-2026-93639 yetki atanmış alt yöneticinin yetki yükseltmesine izin veriyor. 7,8 puanlı üç açık ise zimbra kullanıcısından root seviyesine yerel yetki yükseltme içeriyor. CVE kayıtlarına göre bazı açıklar 10.1.21 sürümünü de kapsıyor ve bu açıklar Zimbra'nın danışma sayfasında henüz yer almıyor. Bu nedenle sunucu yöneticilerinin Zimbra'nın güvenlik duyurularını yakından izlemesi gerekiyor. Zimbra için SGB'nin önceki uyarısını TR-26-1333 haberinde aktarmıştık.

PraisonAI ve DJI CrystalSky

PraisonAI için yayımlanan TR-26-1392 bildirimi 17 güvenlik açığını kapsıyor. Açık kaynak çok ajanlı yapay zekâ sistemindeki en yüksek puanlı açık CVE-2026-57116 (GitHub CVSS 3.1 puanı 9,8). AgentOS FastAPI dağıtımı, daha önceki düzeltmeye rağmen kimlik doğrulamasız kalıyor; kimliği doğrulanmamış bir istemci dağıtılmış ajanı araçları, belleği, API entegrasyonları ve ücretli model çağrılarıyla birlikte çalıştırabiliyor. Açık 4.2.1–4.6.58 sürümlerini etkiliyor ve 4.6.59'da giderildi. Slack yetki atlatması, sandbox korumasının devre dışı kalması ve komut enjeksiyonu gibi diğer açıkların bir kısmı ise 4.6.61'de kapandı; bu yüzden en az bu sürüme geçmek gerekiyor.

TR-26-1393 kodlu DJI bildirimi ise uçan araçları değil, yalnızca CrystalSky ZS600C Android ekran cihazını kapsıyor. v0.3.9.7–v0.6.6.9 donanım yazılımlarını etkileyen 3 açıkta; cihaza USB ile fiziksel erişim sağlayan bir saldırgan sabit kodlu bir dizeyle root olarak komut çalıştırabiliyor (İsviçre NCSC'nin CVSS 4.0 puanı 7,0). Diğer iki açıkta ise yetkisiz bir yerel uygulama root olarak komut çalıştırabiliyor (CVSS 4.0 8,6). Açıkları yayımlayan İsviçre Cyber-Defence Campus ekibine göre v0.6.6.9 cihazın son sürümü ve ürün artık desteklenmiyor. SGB metni güncelleme yayımlandığını söylese de araştırmacı sayfasına göre son donanım yazılımı da etkileniyor; düzeltilmiş bir sürüm bilgisi yok.

Linux çekirdeği ve sistem yöneticilerine tavsiyeler

TR-26-1390 bildiriminde Linux çekirdeği seviyesindeki 213 güvenlik açığı duyuruldu. Kayıtların 212'si 23 Ekim 2026'da yayımlandı ve çoğunda puan yok. Üç kaydın CVSS 3.1 puanı 9,8: bunlar btrfs dosya sistemindeki ve Mellanox mlx5 ağ sürücüsündeki hatalar; belirli dosya sistemi ya da donanım koşullarına bağlı. SGB'nin önceki Linux çekirdeği bildirimini TR-26-1351 haberinde aktarmıştık.

SGB bildirimlerinde yer alan zafiyetler için sistem yöneticilerinin atması gereken adımlar:

SGB, kullanıcılara ve sistem yöneticilerine güncellemeleri ve gerekli önlemleri ivedilikle almalarını tavsiye ediyor.

Kaynaklar

Kapak (temsili; haberde geçen ürünlere ya da sistemlere ait değildir): Arka ışıklı dizüstü klavyesi — Markus Petritz (Unsplash), Wikimedia Commons, CC0 (1200×675 kırpıldı).