Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-94

CVE-2019-16759

vBulletin PHP modülünde kimlik doğrulamasız uzaktan kod çalıştırma açığı

vBulletin

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
22 Eki 2025
Açık yaşı
2590 gün
Kaydı açan
mitre
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 3 Kas 2021 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 3 May 2022.

Yönetici özeti

Forum yazılımındaki bu kritik açık, internetten herhangi birinin sunucunuzda şifresiz komut çalıştırmasına izin verir ve aktif olarak istismar edilmektedir. Başarılı bir saldırı site ele geçirilmesine, veri sızıntısına ve hizmet kesintisine yol açabilir. Güncelleme acilen uygulanmalıdır.

ÖzetTürkçe

vBulletin 5.x sürümlerinde (5.5.4 dahil) ajax/render/widget_php rota dizesine yapılan bir istekteki widgetConfig[code] parametresi aracılığıyla uzaktan komut çalıştırılabilmektedir. Kod enjeksiyonu (CWE-94) türündeki bu açık, kimlik doğrulaması ve kullanıcı etkileşimi gerektirmeden ağ üzerinden istismar edilebilir. vBulletin 5.x çalıştıran tüm forum siteleri etkilenir. Açık, CISA'nın bilinen istismar edilen açıklar (KEV) listesinde yer almaktadır.

Saldırgan ne yapabilir?

Saldırgan, hedef sunucuda kimlik doğrulaması olmadan keyfi komut çalıştırarak sistemin ve forum verilerinin tam denetimini ele geçirebilir. Bu durum gizlilik, bütünlük ve erişilebilirlik üzerinde yüksek etki yaratır.

Kaynaktaki açıklama (İngilizce)

vBulletin 5.x through 5.5.4 allows remote command execution via the widgetConfig[code] parameter in an ajax/render/widget_php routestring request.

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Ne yapmalı?

  1. vBulletin için üretici talimatlarına göre güvenlik güncellemesini hemen uygulayın; 5.5.4 ve öncesi 5.x sürümlerini çalıştırıyorsanız yamalı sürüme geçin. Genel öneri
  2. CISA'nın gerekli eylemi doğrultusunda güncellemeleri üretici talimatlarına uygun şekilde uygulayın. CISA
  3. Güncelleme hemen yapılamıyorsa forumu geçici olarak erişime kapatın veya bir web uygulama güvenlik duvarı (WAF) ile widget_php rota dizesini ve widgetConfig[code] parametresini içeren istekleri engelleyin. Genel öneri
  4. Sunucunun daha önce ele geçirilip geçirilmediğini kontrol edin: beklenmedik dosyaları, yeni yönetici hesaplarını ve olağan dışı süreçleri inceleyin. Genel öneri

Ek önlemler

  • Web sunucusu erişim günlüklerinde widget_php ve widgetConfig[code] içeren şüpheli istekleri arayın. Genel öneri
  • Web sunucusunu en az yetkili kullanıcıyla çalıştırın ve PHP'nin sistem komutu çalıştırma işlevlerini mümkünse kısıtlayın. Genel öneri
  • Forum yazılımı ve eklentileri için düzenli yama takibi yapın ve düzenli, çevrimdışı yedek alın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
vBulletin Sürüm belirtilmemiş –

Kaynaklar12 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.