Bir okulda FATİH projesi kapsamındaki etkileşimli tahtanın ekranında Türkçe F ekran klavyesi (temsili, 2014 arşiv görseli)

Siber Güvenlik Başkanlığı (SGB), 2 Kasım 2026'da yayımladığı TR-26-1440 kodlu bildirimde TÜBİTAK BİLGEM'in geliştirdiği eta-register yazılımında bir güvenlik açığı tespit edildiğini duyurdu ve yazılımın en az 2.0.9 sürümüne yükseltilmesini tavsiye etti. Pardus ETAP paketlerinde etkileşimli tahta kayıt aracı olarak tanımlanan eta-register'daki açık, CVE kaydına göre tahtada düşük yetkili bir oturumu olan birinin yetkisini yükseltmesine yol açabiliyor.

Bildirimde neler var

SGB bildiriminde «TÜBİTAK BİLGEM Yazılım Teknolojileri Araştırma Enstitüsü tarafından geliştirilen eta-register ürününde zafiyet tespit edilmiştir.» ve «Mevcut güvenlik açıklığı nedeniyle siber saldırganların zafiyeti kullanarak saldırılarını gerçekleştirmeleri ihtimal dâhilindedir.» ifadeleri yer aldı. Bildirimde açığın CVE-2026-92886 koduyla izlendiği belirtildi; çözüm bölümünde ise «Siber Güvenlik Başkanlığı, uygulamanın en az 2.0.9 sürümü ve sonrasına yükseltilmesini tavsiye etmektedir.» ifadesi yer aldı. TR-CERT tarafından yayımlanan CVE (ortak açık kimliği) kaydına göre açık, Polkit (Linux tabanlı sistemlerde hangi kullanıcının hangi yönetici işlemini yapabileceğine karar veren yetkilendirme bileşeni) yapılandırma hatasından kaynaklanıyor ve yerel yetki yükseltme (cihazda zaten düşük yetkili bir oturumu olan birinin olması gerekenden fazla yetki kazanması) riskine neden oluyor. Kayıt, açığı eksik yetkilendirme (CWE-862) türünde sınıflandırıyor. CVSS 3.1 (açıkların 0–10 arası önem puanı) sistemine göre açığın puanı 7.8 (Yüksek). Kayıttaki CVSS vektörüne göre saldırı için cihaza yerel erişim ve düşük yetkili bir oturum gerekiyor, kullanıcı etkileşimi gerekmiyor; başarılı bir saldırıda gizlilik, bütünlük ve erişilebilirlik üzerindeki etki yüksek olarak derecelendiriliyor.

eta-register nedir

Pardus ETAP, okullardaki etkileşimli tahtalarda kullanılan Pardus tabanlı işletim sistemidir. Pardus ETAP paketlerinde eta-register, Türkçe menüde «Eta-Kayıt» adıyla geçen etkileşimli tahta kayıt aracı olarak tanımlanıyor. Paketin Pardus arşivindeki 2018 tarihli eski bir sürümünün (0.2.16) açıklamasında «Okul bazlı tahtaların uzak kayıtlarının yapılması için geliştirilmiştir.» ifadesi yer alıyor. ETAP 23 Sıkça Sorulan Sorular belgesine ve Pardus Gönüllü platformundaki bir rehber yazısına göre tahtalar «ETA Kayıt» uygulamasıyla, okul kodu girilerek ya da il, ilçe ve okul seçilerek Lider Ahenk merkezi yönetim sistemine kaydediliyor; işlem parola girilerek tamamlanıyor.

Saldırılarda kullanıldı mı

SGB bildiriminde ve CVE kaydında açığın saldırılarda kullanıldığına dair bilgi bulunmuyor. CVE-2026-92886, ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı'nın (CISA) Bilinen İstismar Edilen Açıklar (KEV) kataloğunda da yer almıyor. İstismar bilgisinin bulunmaması riskin olmadığı anlamına gelmiyor; SGB bildirimi, saldırganların açığı kullanabilme ihtimaline dikkat çekiyor. Etkilenen 2.0.8 sürümünü çalıştıran tahta sayısı açıklanmadı.

Güncelleme yayımlandı mı

Pardus ETAP'ın resmi paket deposu (sistemin güncellemeleri indirdiği resmi yazılım kaynağı) içinde eta-register'ın etkilenen 2.0.8 sürümünün yanı sıra düzeltilmiş 2.0.9 sürümü de yer alıyor. Bu depo, ETAP 23'ün resmi paket kaynakları arasında yer alıyor. Güncellemenin okullardaki tahtalara ne zaman ve hangi yolla ulaşacağına ya da ulaşıp ulaşmadığına ilişkin resmi bir açıklama yapılmadı.

Türkiye açısından

eta-register, SGB'ye göre TÜBİTAK BİLGEM Yazılım Teknolojileri Araştırma Enstitüsü tarafından geliştirilen ve ETAP belgelerine göre okullardaki etkileşimli tahtaların kaydında kullanılan yerli bir yazılım. Açık yerel erişim gerektirdiğinden tahtaların fiziksel ve oturum güvenliği öne çıkıyor. ETAP belgelerine göre tahtaların yetkili kullanıcı parolası, tahta ETA Kayıt sistemine kaydedildiğinde okulun kurumsal e-posta adresine gönderiliyor. Belgede parolaların BT/BTR öğretmenleri dışında kişi ya da kurumlarla paylaşılmaması gerektiği belirtiliyor ve «Parola bilgileri SOSYAL MEDYA platformlarında PAYLAŞILAMAZ.» uyarısı yer alıyor. SGB daha önce de yerli kamu yazılımları için uyarılar yayımlamıştı; TÜBİTAK ULAKBİM'in Ulak PDF yazılımı için yayımlanan bildirim ve UYAP Doküman Editörü bildirimi bu kapsamdaki örnekler arasında bulunuyor. Bildirimde etkilenen belirli bir okul ya da kurum bilgisi yer almıyor.

Ne yapmalısınız

Okulunuzdaki etkileşimli tahtalardan sorumluysanız (BT öğretmeni, okul yöneticisi ya da il/ilçe koordinatörü):

Kaynaklar

Kapak görseli (temsili, 2014 arşiv): «Fatih Smart Board» — Mustafa Alperen SEKİ, CC BY 4.0, Wikimedia Commons (1200×675 kırpıldı).

Sık sorulan sorular

Okulumuzdaki tahtanın etkilenip etkilenmediğini nasıl anlarım?

SGB bildirimine ve CVE kaydına göre açık eta-register'ın 2.0.8 sürümünü etkiliyor, düzeltme 2.0.9 sürümünde. Tahtadaki eta-register paketinin yüklü sürümünü, ETAP 23 Sıkça Sorulan Sorular belgesinde paket yönetimi için anlatılan Synaptic Paket Yöneticisi'nde paketi aratarak görebilirsiniz. Sürüm 2.0.9 veya üzerindeyse SGB'nin önerdiği güncelleme yapılmış demektir.

Tahtayı nasıl güncellerim?

ETAP 23 Sıkça Sorulan Sorular belgesine göre tepe çubuğundaki güncelleme simgesine (Pardus Güncelleyici) ya da «Şimdi denetle» seçeneğine tıklayarak bekleyen güncellemeleri yükleyebilirsiniz. Belgede Synaptic Paket Yöneticisi ile «Tazele», «Tüm Yükseltmeleri Seç» ve «Uygula» adımları da anlatılıyor.

Açık saldırılarda kullanıldı mı?

SGB bildiriminde ve CVE kaydında açığın saldırılarda kullanıldığına dair bir bilgi bulunmuyor; açık CISA'nın KEV kataloğunda da yer almıyor.