- Son 7 gün
- CWE-77
- CWE-78
CVE-2026-113506
aaPanel Dosya Yöneticisi ExecShell fonksiyonunda işletim sistemi komut enjeksiyonu
- Yayımlandı
- Güncellendi
- 20 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- VulDB
Yönetici özeti
Bu açık, sunucu yönetim panelini kullanan işletmeler için ciddi bir risk oluşturmaktadır ve kritik öncelikli olarak ele alınmalıdır. Saldırganların sunucuların tamamını ele geçirmesine ve müşteri ya da iş verilerine ulaşmasına olanak tanıyabilir. Panel kullanan ekiplerin en kısa sürede güncelleme yapması veya erişimi kısıtlaması gerekmektedir.
ÖzetTürkçe
aaPanel'in 8.25.0 sürümüne kadar olan sürümlerinde, Dosya Yöneticisi bileşeninin class/public/common.py dosyasındaki ExecShell fonksiyonu tehlikeli bir zafiyet içermektedir. sfile, dfile, access ve user argümanlarının işlenmesi sırasında girdi yeterince doğrulanmadığı için işletim sistemi komut enjeksiyonu mümkün olmaktadır. Zafiyet uzaktan istismar edilebilir ve kamuya açık bir istismar kodu bulunmaktadır.
Saldırgan ne yapabilir?
Kimlik doğrulaması yapılmış bir saldırgan, sunucuda işletim sistemi komutlarını çalıştırabilir; bu da sunucunun tamamen ele geçirilmesine ve barındırılan verilere erişime yol açabilir.
Kaynaktaki açıklama (İngilizce)
A vulnerability has been found in aaPanel up to 8.25.0. The affected element is the function ExecShell of the file class/public/common.py of the component File Manager. The manipulation of the argument sfile/dfile/access/user leads to os command injection. The attack is possible to be carried out remotely. The exploit has been disclosed to the public and may be used. The vendor confirms: "The reported RCE and LFI vulnerabilities require authentication."
Ne yapmalı?
- Üretici tarafından sağlanan düzeltme sürümü yoktur; satıcı, bildirilen uzaktan kod çalıştırma ve yerel dosya okuma açıklarının kimlik doğrulama gerektirdiğini belirtmiştir. Bu nedenle sürüm 8.25.0 ve öncesi kurulumlarda güvenlik güncellemelerini takip edin ve yayımlandığında en güncel sürüme geçin. Genel öneri
- Yönetim paneline erişimi yalnızca güvenilir IP adresleriyle sınırlandırın ve paneli herkese açık internet üzerinden doğrudan erişilebilir bırakmayın. Genel öneri
- Panel yönetici hesaplarının parolalarını güçlü ve benzersiz hale getirin, çok faktörlü kimlik doğrulamayı etkinleştirin ve kullanılmayan hesapları devre dışı bırakın. Genel öneri
- Dosya Yöneticisi işlemleri ve panel erişim kayıtlarını olağandışı komut çalıştırma veya beklenmeyen dosya işlemleri açısından izleyin. Genel öneri
Ek önlemler
- Paneli mümkünse bir VPN arkasında çalıştırın veya erişimi ağ düzeyinde filtreleyin. Genel öneri
- Panel ve bağlı sunucuları düzenli olarak yedekleyin ve yedeklerin çevrimdışı saklandığından emin olun. Genel öneri
- Sunucuda beklenmeyen süreçler, yeni kullanıcılar veya değiştirilmiş dosyalar için sistem günlüklerini kontrol edin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| aaPanel | 8.0 | – |
| 8.1 | – | |
| 8.2 | – | |
| 8.3 | – | |
| 8.4 | – | |
| 8.5 | – | |
| 8.6 | – | |
| 8.7 | – | |
| 8.8 | – | |
| 8.9 | – | |
| 8.10 | – | |
| 8.11 | – |
ve 14 satır daha
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- vuldb.com/cve/CVE-2026-113506 Üçüncü taraf
- vuldb.com/submit/996819 Üçüncü taraf
- github.com/…ploit/aapanel-cve-2026/tree/master/aapanel-rce İstismar kodu ya da analiz
- vuldb.com/vuln/422748 Diğer
- vuldb.com/vuln/422748/cti Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.