- Aktif istismar
- CWE-306
CVE-2022-26501
Veeam Backup & Replication'da kimlik doğrulamasız uzaktan kod çalıştırma açığı
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 1685 gün
- Kaydı açan
- mitre
Yönetici özeti
Yedekleme yazılımındaki bu kritik açık, saldırganların kimlik bilgisi olmadan sunucuyu ele geçirmesine izin verebilir ve açığın gerçek saldırılarda kullanıldığı bilinmektedir. Yedeklerin çalınması veya silinmesi, fidye yazılımı saldırılarında kurtarma imkanını ortadan kaldırabilir. Güncellemenin gecikmeden uygulanması gerekir.
ÖzetTürkçe
Veeam Backup & Replication 10.x ve 11.x sürümlerinde hatalı erişim kontrolü bulunuyor (CWE-306, kritik işlev için kimlik doğrulama eksikliği). Açık, ağ üzerinden kimlik doğrulaması ve kullanıcı etkileşimi gerekmeden istismar edilebiliyor. CISA, açığın aktif olarak istismar edildiğini belirterek Bilinen İstismar Edilen Açıklar (KEV) kataloğuna eklemiştir. Bu sürümleri kullanan tüm kurulumlar etkilenmektedir.
Saldırgan ne yapabilir?
Saldırgan, ağdan kimlik doğrulaması olmadan uzaktan kod çalıştırarak yedekleme sunucusunu ele geçirebilir. Bu durum yedek verilerinin gizliliğini, bütünlüğünü ve erişilebilirliğini tehlikeye atar.
Kaynaktaki açıklama (İngilizce)
Veeam Backup & Replication 10.x and 11.x has Incorrect Access Control (issue 1 of 2).
CISA'nın önerdiği eylem (İngilizce)
Apply updates per vendor instructions.
Ne yapmalı?
- Veeam'in yayımladığı güncellemeyi veya yamayı Veeam Backup & Replication kurulumlarınıza satıcı talimatlarına göre uygulayın. Genel öneri
- CISA'nın gerekli eylemi doğrultusunda güncellemeleri satıcı yönergelerine uygun şekilde uygulayın. CISA
- Yama uygulanana kadar yedekleme sunucusuna ağ erişimini güvenilir yönetim ağlarıyla sınırlayın ve internetten erişimi kapatın. Genel öneri
Ek önlemler
- Yedekleme sunucusunu ayrı bir yönetim ağı segmentine alın ve gelen bağlantıları güvenlik duvarıyla kısıtlayın. Genel öneri
- Yedekleme sunucusunda beklenmeyen süreçleri, yeni hesapları ve olağan dışı ağ bağlantılarını izleyin; olası ele geçirilme belirtileri için günlükleri inceleyin. Genel öneri
- Yedeklerin bir kopyasını değiştirilemez (immutable) veya çevrimdışı ortamda tutun. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Veeam Backup & Replication | Sürüm belirtilmemiş | – |
Kaynaklar4 kaynak
- CVE.org kaydı
- NVD kaydı
- veeam.com Diğer
- veeam.com/kb4288 Diğer
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.