Siber Güvenlik Başkanlığı, Zimbra Collaboration e-posta ve iş birliği platformundaki güvenlik zafiyetleri için 15 Ekim 2026'da TR-26-1333 kodlu bildirim yayımladı. Bildirim kapsamındaki açıkların Zimbra Collaboration Suite 10.1.0 ile 10.1.21 arasındaki sürümleri etkilediği bildirildi.
Bildirimde yer alan zafiyetler ve etkileri
Bildirimde iki ayrı güvenlik açığı yer alıyor. CVE-2026-93635 koduyla kaydedilen zafiyet, unescaped computeDn() şablon değişimi üzerinden LDAP filtre enjeksiyonuna yol açıyor. Yetkisiz saldırganlar, harici LDAP arama filtrelerini değiştirerek kimlik doğrulama süreçlerine müdahale edebiliyor.
CVE-2026-93637 kodlu diğer açık ise GraphQL toplu kimlik doğrulama isteklerinde ön kimlik doğrulama hız sınırının atlatılmasına imkan tanıyor. Bu zafiyet, saldırganların kaynak IP adresine uygulanan başarısız deneme sayacına takılmadan art arda parola denemesi yapabilmesine zemin hazırlıyor.
Sistem yöneticileri için öneriler
Siber Güvenlik Başkanlığı, sistem yöneticilerine ve kullanıcılara yayımlanan dokümanlardaki güvenlik önerilerini inceleyerek gerekli güncellemeleri yapmalarını tavsiye etti. Kurum daha önce Zimbra için TR-26-1281 kodlu bildirimi yayımlamış, platforma yönelik CVE-2026-73570 açığı da ayrı bir incelemeye konu olmuştu.
Kaynaklar
- T.C. Siber Güvenlik Başkanlığı TR-26-1333 Güvenlik Bildirimi
- Zimbra Security Advisories
- Zimbra Security Center
- Rapid7 Araştırma Raporu
Kapak görseli: Zimbra logosu / Wikimedia Commons, Commons (Zimbra marka) (1200×675 uyarlandı).
