Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-94

CVE-2026-105002

IBM API Connect yönetim servisinde kod enjeksiyonu açığı (CWE-94)

IBM API Connect

Yüksek 7,5 CVSS 3.1
Yayımlandı
Güncellendi
7 Kas 2026
Açık yaşı
0 gün
Kaydı açan
ibm

Yönetici özeti

Bu açık, API altyapınızın yönetim katmanının ele geçirilmesine yol açabilecek ciddi bir risk taşımaktadır. Etkilenen sürümlerin yalnızca belirli yapılandırmalarda istismar edilebilir olması, güncellemeyi ertelemek için bir gerekçe değildir. Sistemlerinizi mümkün olan en kısa sürede güncellemeniz önerilir.

ÖzetTürkçe

IBM API Connect'in 10.0.8.0–10.0.8.12 ve 12.1.0.0–12.1.1.2 sürümlerinde, belirli varsayılan olmayan yapılandırmalarda yönetim servisi kaynaklı bir kod üretimi zafiyeti bulunmaktadır. Özelleştirme içeriği kod olarak değerlendirilebilmekte ve bu yalnızca ilgili özellik etkinleştirildiğinde ve düzgün kısıtlanmadığında mümkün olmaktadır. Etkilenen kurulumları yöneten kurum ve sağlayıcılar risk altındadır.

Saldırgan ne yapabilir?

Saldırgan, yönetim servisi üzerinde keyfi kod çalıştırabilir; bu da API altyapısının tam kontrolünün ele geçirilmesi, gizli verilere erişim ve hizmet kesintisi anlamına gelebilir.

Kaynaktaki açıklama (İngilizce)

IBM API Connect 10.0.8.0 through 10.0.8.12 and 12.1.0.0 through 12.1.1.2 could allow arbitrary code to be executed by the management service in certain non-default configurations due to improper control of generation of code. Customization content may be evaluated as code, which is only possible where the related feature is enabled and not properly restricted.

Üreticinin çözüm notu (İngilizce)

IBM strongly recommends addressing the vulnerability now by upgrading to v12.1.1.3
Fix Central Link: https://www.ibm.com/support/pages/node/7290205

IBM strongly recommends addressing the vulnerability now by upgrading to 10.0.8.13Fix Central Link: https://www.ibm.com/support/fixcentral/swg/selectFixes?parent=ibm%7EWebSphere&product=ibm/WebSphere/IBM+API+Connect&release=10.0.8.12&platform=All&function=all

Ne yapmalı?

  1. IBM'in önerisi doğrultusunda 12.1 dalını kullananlar 12.1.1.3 sürümüne, 10.0.8 dalını kullananlar 10.0.8.13 sürümüne yükseltme yapmalıdır. Güncelleme bağlantısı IBM'in resmi destek sayfasında yer almaktadır. Üretici
  2. Yükseltme yapılana kadar, özelleştirme içeriğini kod olarak değerlendiren ilgili özelliğin devre dışı bırakılması veya kısıtlanması değerlendirilmelidir. Genel öneri

Ek önlemler

  • Yönetim servisine erişimi yalnızca yetkili yöneticilerle ve güvenilen ağ segmentleriyle sınırlandırın. Genel öneri
  • Özelleştirme içeriklerinin değişikliklerini denetleyin ve beklenmeyen kod veya yapılandırma değişikliklerini izleyin. Genel öneri
  • Yükseltme sonrasında sürüm bilgisini doğrulayarak tüm yönetim bileşenlerinin güncel olduğundan emin olun. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
IBM API Connect ≥ 12.1.0.0, ≤ 12.1.1.2 –
≥ 10.0.8.0, ≤ 10.0.8.12 –

Kaynaklar4 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.