- Aktif istismar
- Yama var
- CWE-77
- CWE-502
CVE-2025-10035
Fortra GoAnywhere MFT License Servlet'inde seri durumdan çıkarma açığı
- Yayımlandı
- Güncellendi
- 19 Eki 2026
- Açık yaşı
- 404 gün
- Kaydı açan
- Fortra
Yönetici özeti
Dosya transferi için kullanılan GoAnywhere MFT yazılımında, saldırganların sunucuyu uzaktan ele geçirmesine imkân tanıyan kritik bir güvenlik açığı var ve açık şu anda gerçek saldırılarda kullanılıyor. Yönetim paneli internete açıksa şirket verilerinin çalınma veya değiştirilme riski yüksektir. Güncelleme ve erişim kısıtlaması gecikmeden yapılmalıdır.
ÖzetTürkçe
Fortra GoAnywhere MFT'nin License Servlet bileşeninde güvenli olmayan seri durumdan çıkarma (deserialization) açığı bulunuyor. Geçerli biçimde sahte oluşturulmuş bir lisans yanıtı imzasına sahip saldırgan, kendi denetimindeki bir nesneyi sunucuya işleterek komut enjeksiyonuna ulaşabilir. 7.8.3 ve öncesi sürümler etkileniyor. Açığın istismarı büyük ölçüde sistemlerin internete açık olmasına bağlıdır ve CISA tarafından aktif olarak istismar edilen açıklar listesine (KEV) eklenmiştir.
Saldırgan ne yapabilir?
Saldırgan, kimlik doğrulaması gerekmeden ağ üzerinden sunucuda komut çalıştırabilir ve gizlilik, bütünlük ile erişilebilirlik üzerinde tam kontrol elde edebilir. Dosya transferi sistemi üzerinden geçen verilere erişilebilir veya bu veriler değiştirilebilir.
Kaynaktaki açıklama (İngilizce)
A deserialization vulnerability in the License Servlet of Fortra's GoAnywhere MFT allows an actor with a validly forged license response signature to deserialize an arbitrary actor-controlled object, possibly leading to command injection.
Üreticinin çözüm notu (İngilizce)
Upgrade to a patched version (the latest release 7.8.4, or the Sustain Release 7.6.3)
Üreticinin geçici önlemi (İngilizce)
Immediately ensure that access to the GoAnywhere Admin Console is not open to the public. Exploitation of this vulnerability is highly dependent upon systems being externally exposed to the internet.
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Ne yapmalı?
- GoAnywhere MFT'yi yamalı bir sürüme yükseltin: en güncel sürüm 7.8.4 veya Sustain Release 7.6.3. Üretici
- Güncelleme yapılana kadar GoAnywhere Admin Console erişiminin internete açık olmadığından hemen emin olun; erişimi yalnızca güvenilir iç ağ veya VPN ile sınırlayın. Üretici
- Üretici talimatlarına göre risk azaltma önlemlerini uygulayın; bu önlemler uygulanamıyorsa ürünün kullanımını durdurun. CISA
Ek önlemler
- Yönetim arayüzlerini ve dosya transferi servislerini güvenlik duvarı veya VPN arkasına alın, doğrudan internet erişimini kaldırın. Genel öneri
- Sistemde olağandışı süreç başlatma, yeni yönetici hesabı veya beklenmeyen dışarı doğru bağlantı izlerini günlüklerde araştırın; açık internete maruz kalmış sistemleri ele geçirilmiş olabileceği varsayımıyla inceleyin. Genel öneri
- Sunucuyu en az yetkili hizmet hesabıyla çalıştırın ve ağ segmentasyonu ile olası bir ele geçirmenin yayılmasını sınırlayın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Fortra GoAnywhere MFT | ≤ 7.8.3 | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.