Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-287

CVE-2026-105133

Ahsay AhsayCBS API'sinde kimlik doğrulama atlatma açığı (checkSysPwd)

AhsayCBS

Yüksek 7,3 CVSS 3.1
Yayımlandı
Güncellendi
26 Eki 2026
Açık yaşı
24 gün
Kaydı açan
VulDB
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 14 Eki 2026 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 17 Eki 2026.

Yönetici özeti

Yedekleme yönetim yazılımı AhsayCBS'teki bu açık, saldırganların şifre doğrulamasını aşarak sisteme yetkisiz erişmesine imkân tanıyor ve şu anda gerçek saldırılarda kullanılıyor. Yedekleme sunucuları kurumsal verilerin tutulduğu kritik sistemler olduğundan güncelleme acil olarak yapılmalıdır. İnternete açık sunucular öncelikli ele alınmalıdır.

ÖzetTürkçe

Ahsay AhsayCBS'in API bileşenindeki ApiStructsAction.java dosyasında yer alan checkSysPwd fonksiyonunda, random argümanının manipüle edilmesiyle uygunsuz kimlik doğrulama (CWE-287) sorunu ortaya çıkıyor. Açık ağ üzerinden uzaktan istismar edilebiliyor ve istismar kodu herkese açık. Sorun 9.15.2.69'a kadar olan 9.15 sürümlerini ve 10.3.4.44'e kadar olan 10.3 sürümlerini etkiliyor. Satıcının ilk yaması sorunu tam olarak gidermediği için CVE kaydı güncellenmiş durumda.

Saldırgan ne yapabilir?

Kimliği doğrulanmamış uzaktaki bir saldırgan, kimlik doğrulama kontrolünü atlayarak sistemin gizliliği, bütünlüğü ve erişilebilirliği üzerinde sınırlı düzeyde etki oluşturabilir. Açık, CISA tarafından aktif olarak istismar edilen zafiyetler listesine (KEV) eklenmiştir.

Kaynaktaki açıklama (İngilizce)

A vulnerability was detected in Ahsay AhsayCBS up to 9.15.2.69/10.3.4.44. This affects the function checkSysPwd of the file com/ahsay/obs/api/ApiStructsAction.java of the component API. Performing a manipulation of the argument random results in improper authentication. It is possible to initiate the attack remotely. The exploit is now public and may be used. Upgrading to version 9.15.2.70 and 10.3.4.45 is able to mitigate this issue. It is recommended to upgrade the affected component. The initial patch did not fix the security vulnerability properly. An update of the CVE entry to reflect this became necessary.

CISA'nın önerdiği eylem (İngilizce)

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

Ne yapmalı?

  1. AhsayCBS'i 9.15 sürüm hattı için 9.15.2.70 sürümüne, 10.x hattı için 10.3.4.45 sürümüne yükseltin. İlk yama sorunu tam gidermediği için daha eski yama sürümleriyle yetinmeyin. Genel öneri
  2. CISA'nın gerekliliği doğrultusunda satıcı talimatlarına göre önlemleri uygulayın, her varlığın internete açıklık durumunu değerlendirin ve BOD 26-04 yama kurallarına uyun. CISA
  3. CISA'nın adli bilişim ön inceleme (forensics triage) gerekliliklerini uygulayarak sistemin daha önce istismar edilip edilmediğini kontrol edin. CISA
  4. Önlemler uygulanamıyorsa ürünün kullanımını durdurmayı değerlendirin; yama uygulanana kadar yönetim arayüzüne erişimi güvenilir IP adresleriyle sınırlayın. Genel öneri

Ek önlemler

  • AhsayCBS yönetim ve API arayüzünü doğrudan internete açmayın; VPN veya IP erişim kısıtlaması arkasında tutun. Genel öneri
  • API erişim günlüklerini ve kimlik doğrulama kayıtlarını olağandışı istekler ile beklenmeyen oturumlar açısından inceleyin. Genel öneri
  • Yetkisiz erişim şüphesi varsa yönetici ve sistem parolalarını değiştirin ve yedek verilerinin bütünlüğünü doğrulayın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
AhsayCBS 9.15.2.0 –
9.15.2.1 –
9.15.2.2 –
9.15.2.3 –
9.15.2.4 –
9.15.2.5 –
9.15.2.6 –
9.15.2.7 –
9.15.2.8 –
9.15.2.9 –
9.15.2.10 –
9.15.2.11 –

ve 105 satır daha

Kaynaklar9 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.