Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • Yama var
  • CWE-89
  • CWE-288

CVE-2025-57819

FreePBX endpoint modülünde kimlik doğrulama atlatma, SQL enjeksiyonu ve uzaktan kod çalıştırma

FreePBX endpoint

Kritik 10,0 CVSS 4.0
Yayımlandı
Güncellendi
26 Eyl 2026
Açık yaşı
426 gün
Kaydı açan
GitHub_M
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 29 Ağu 2025 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 19 Eyl 2025.

Yönetici özeti

Telefon santrali yazılımı FreePBX'teki bu kritik açık, saldırganların şifre bilmeden sisteme girip tam kontrol sağlamasına imkân tanıyor ve şu anda aktif olarak kötüye kullanılıyor. Santralin ele geçirilmesi görüşme kesintilerine, veri sızıntısına ve izinsiz arama kaynaklı maliyetlere yol açabilir. Güncellemenin gecikmeden yapılması gerekir.

ÖzetTürkçe

FreePBX 15, 16 ve 17 sürümlerindeki endpoint bileşeni, kullanıcıdan gelen verileri yeterince temizlemediği için kimlik doğrulaması olmadan FreePBX Administrator arayüzüne erişime izin vermektedir. Bu durum veritabanının keyfi biçimde değiştirilmesine ve uzaktan kod çalıştırılmasına yol açar. Zafiyet CISA KEV listesinde yer almakta olup aktif olarak istismar edilmektedir. 15.0.66, 16.0.89 ve 17.0.3 öncesi endpoint sürümleri etkilenmektedir.

Saldırgan ne yapabilir?

Kimliği doğrulanmamış bir saldırgan ağ üzerinden yönetici erişimi elde edebilir, veritabanını değiştirebilir ve sunucuda kod çalıştırarak sistemin tam kontrolünü ele geçirebilir.

Kaynaktaki açıklama (İngilizce)

FreePBX is an open-source web-based graphical user interface. FreePBX 15, 16, and 17 endpoints are vulnerable due to insufficiently sanitized user-supplied data allowing unauthenticated access to FreePBX Administrator leading to arbitrary database manipulation and remote code execution. This issue has been patched in endpoint versions 15.0.66, 16.0.89, and 17.0.3.

CISA'nın önerdiği eylem (İngilizce)

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

Ne yapmalı?

  1. FreePBX endpoint modülünü sürümünüze uygun düzeltilmiş sürüme güncelleyin: 15 için 15.0.66, 16 için 16.0.89, 17 için 17.0.3 veya daha yenisi. Üretici
  2. Güncelleme yapılana kadar FreePBX yönetim arayüzünün internetten erişimini güvenlik duvarı ile kapatın; yalnızca güvenilir iç ağ veya VPN üzerinden erişime izin verin. Genel öneri
  3. CISA'nın gereği doğrultusunda üretici talimatlarındaki azaltım önlemlerini uygulayın; azaltım mümkün değilse ürünün kullanımını sonlandırın. CISA
  4. Güncelleme sonrasında sistemin daha önce ele geçirilip geçirilmediğini kontrol edin: beklenmeyen yönetici hesapları, değiştirilmiş veritabanı kayıtları ve bilinmeyen dosya veya zamanlanmış görevleri inceleyin. Genel öneri

Ek önlemler

  • FreePBX yönetim arayüzünü doğrudan internete açmayın; erişimi IP kısıtlaması veya VPN ile sınırlayın. Genel öneri
  • Web sunucusu ve FreePBX günlüklerinde yetkisiz yönetici arayüzü erişimi ve olağandışı istekler için izleme yapın. Genel öneri
  • Santral modüllerini düzenli olarak güncelleyin ve yapılandırma ile veritabanının düzenli yedeğini alın. Genel öneri
  • Şüpheli bir ele geçirme tespit ederseniz yönetici, SIP ve veritabanı parolalarını değiştirin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
FreePBX endpoint < 15.0.66 15.0.66
< 16.0.89 16.0.89
< 17.0.3 17.0.3

Kaynaklar6 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.