Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-287

CVE-2019-19006

Sangoma FreePBX'te kimlik doğrulama atlatma (hatalı erişim denetimi) açığı

Sangoma FreePBX

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
3 Şub 2026
Açık yaşı
2532 gün
Kaydı açan
mitre
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 3 Şub 2026 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 24 Şub 2026.

Yönetici özeti

Şirketin FreePBX telefon santrali sistemi, internetten kimlik doğrulaması olmadan ele geçirilebilir. Açığın aktif olarak istismar edildiği bilindiği için risk yüksektir ve acil önlem alınmalıdır. Santral ele geçirilirse görüşme kesintileri ve verilerin ifşası yaşanabilir.

ÖzetTürkçe

Sangoma FreePBX'te hatalı erişim denetimi (yetersiz kimlik doğrulama) zafiyeti bulunuyor. Açık, 115.0.16.26 ve öncesi, 14.0.13.11 ve öncesi ile 13.0.197.13 ve öncesi sürümleri etkiliyor. Ağ üzerinden, kimlik bilgisi veya kullanıcı etkileşimi gerekmeden istismar edilebiliyor. Zafiyet CISA'nın bilinen istismar edilen açıklar (KEV) listesine eklenmiştir.

Saldırgan ne yapabilir?

Saldırgan kimlik doğrulaması olmadan sisteme yetkisiz erişim sağlayabilir. Bu da gizlilik, bütünlük ve erişilebilirlik üzerinde tam etki yaratabilir.

Kaynaktaki açıklama (İngilizce)

Sangoma FreePBX 115.0.16.26 and below, 14.0.13.11 and below, 13.0.197.13 and below have Incorrect Access Control.

CISA'nın önerdiği eylem (İngilizce)

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

Ne yapmalı?

  1. Kullandığınız FreePBX sürümünün etkilenen aralıkta olup olmadığını kontrol edin (13.0.197.13, 14.0.13.11, 115.0.16.26 ve öncesi). Genel öneri
  2. Sangoma'nın yayımladığı güvenlik talimatlarını ve düzeltmelerini uygulayın; FreePBX'i satıcının güncel, yamalı sürümüne yükseltin. Genel öneri
  3. CISA gereği: Satıcı talimatlarına göre azaltım önlemlerini uygulayın, bulut hizmetleri için geçerli BOD 22-01 yönergelerini izleyin; önlemler uygulanamıyorsa ürünün kullanımını durdurun. CISA
  4. Yama uygulanana kadar yönetim arayüzüne internetten erişimi engelleyin ve yalnızca güvenilir IP adreslerine veya VPN üzerinden izin verin. Genel öneri

Ek önlemler

  • Sistemin olası ele geçirilme belirtileri için yönetim arayüzü erişim kayıtlarını, yeni oluşturulmuş yönetici hesaplarını ve beklenmeyen yapılandırma değişikliklerini inceleyin. Genel öneri
  • FreePBX yönetim paneli ve SIP servislerini güvenlik duvarı ile gereksiz erişime kapatın. Genel öneri
  • Olağan dışı yoğun çağrı veya uluslararası arama hareketlerini izleyerek ücretli arama dolandırıcılığını erken tespit edin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Sangoma FreePBX Sürüm belirtilmemiş –

Kaynaklar7 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.