Dizüstü bilgisayar ekranında bir web uygulamasının kaynak kodu (temsili görsel)

T.C. Siber Güvenlik Başkanlığı (SGB), 27 Ekim 2026 öğleden sonra 14:31 ile 16:19 TSİ arasında beş yerli yazılım için beş ayrı resmi güvenlik bildirimi yayımladı. CVE kayıtlarını da SGB açtı. Beş açığın hiçbiri CISA'nın istismar edildiği bilinen açıklar kataloğunda (KEV) yer almıyor; kaynaklarda istismar bilgisi de yok. Dört ürün için düzeltilmiş sürüm var, Ontime için ise yama bulunmuyor. SGB'nin aynı sabah yayımladığı bildirimleri 27 Ekim sabah derlemesinde aktarmıştık.

Yaması olmayan ürün: Ontime

İdvlabs Yazılım ve Danışmanlık'ın Ontime ürünü için yayımlanan TR-26-1407 numaralı bildirim, CVE-2026-15586 kodlu açığı kapsıyor. Orta önem derecesindeki (CVSS 5,3) açıkta tek kullanımlık doğrulama kodu (OTP) denemeleri yeterince sınırlanmıyor. Bu da kaba kuvvet denemeleriyle bir hesabın ele geçirilmesine yol açabilir.

CVE kaydına göre 27 Ekim 2026'ya kadarki bütün sürümler etkileniyor. Kayıttaki nota göre üreticiyle duyurudan önce iletişime geçildi, ancak üreticiden yanıt alınamadı. Açık için yama yok. SGB, üretici açığı gidermediği için Ontime kullananlara muadil başka bir ürüne geçmelerini öneriyor.

Agentis ve Agentic Ally: kimlik doğrulama gerektirmeyen açıklar

Rolantis Bilgi Teknolojileri'nin Agentis ürünü için yayımlanan TR-26-1406 numaralı bildirim, CVE-2026-100164 kodlu açığı kapsıyor. Yüksek önem derecesindeki (CVSS 7,5) açıkta, 4.8 öncesi sürümlerde sunucunun verdiği farklı yanıtlar, kimlik doğrulama gerekmeden hangi kullanıcı hesaplarının var olduğunu ortaya çıkarabiliyor. SGB, en az 4.8 sürümüne yükseltilmesini öneriyor. SGB, Agentis için Eylül ayında da bir bildirim (TR-26-1198) yayımlamıştı.

Keepnet Labs Siber Güvenlik'in Agentic AI / Agentic Ally ürünü için yayımlanan TR-26-1408 numaralı bildirim, CVE-2026-92546 kodlu açığı kapsıyor. Yüksek önem derecesindeki (CVSS 7,5) açık, 0ef61f2e öncesi sürümlerde sahtecilik yoluyla kimlik doğrulamanın atlatılmasına imkân veriyor. CVE kaydındaki puanlamaya göre açık ağ üzerinden ve kimlik doğrulama gerekmeden tetiklenebiliyor, gizlilik etkisi de yüksek. SGB, 0ef61f2e sürüm koduna ya da sonrasına geçilmesini öneriyor.

Kulga Haber Yazılımı ve EdoWEB

Kulga Yazılım ve Telekomünikasyon'un Kulga Haber Yazılımı için yayımlanan TR-26-1405 numaralı bildirim, CVE-2026-105323 kodlu açığı kapsıyor. Orta önem derecesindeki (CVSS 6,1) açık, yansıtılan siteler arası betik çalıştırma (XSS) türünde. Açığın etkili olması için kullanıcı etkileşimi gerekiyor. Etkilenen sürümler v26.7.4 ile v26.10.0 öncesi arasında. SGB, en az v26.10.0 sürümüne yükseltilmesini öneriyor.

Netiket Bilgi Teknolojileri'nin EdoWEB ürünü için yayımlanan TR-26-1409 numaralı bildirim, CVE-2026-16307 kodlu açığı kapsıyor. Orta önem derecesindeki (CVSS 4,3) açık, 780-g7 öncesi sürümlerde bir yetki atlatma (IDOR) sorunu. Oturum açmış bir kullanıcı, erişim izni doğru kısıtlanmamış işlevlere ulaşabiliyor. SGB, en az 780-g7 sürümüne geçilmesini öneriyor. Bu açık, EdoWEB'de Ağustos ayında duyurulan CVE-2026-16309'dan farklı.

Türkiye açısından

Beş ürün de Türk şirketlerine ait; bildirimleri ve CVE kayıtlarını SGB yayımladı. Türkiye'de bu açıklardan etkilenen bir kurum ya da istismar vakası bildirilmedi; bu yazılımları kullanan kurum sayısı da bilinmiyor.

Bu ürünleri kullanan kurumların sürümlerini kontrol edip SGB'nin önerdiği sürümlere geçmesi gerekiyor. Ontime için yama olmadığından SGB muadil bir ürüne geçilmesini öneriyor. Geçiş tamamlanana kadar OTP doğrulamalarını ve giriş kayıtlarındaki olağan dışı denemeleri izlemek faydalı olur.

Kaynaklar

Kapak görseli (temsili): dizüstü ekranında web uygulaması kodu; habere konu ürünlerin kodu değildir — Marc Mueller, Wikimedia Commons, CC0 (1200×675 kırpıldı).