- Yama var
- Son 7 gün
- CWE-269
CVE-2026-117466
Octopus Server'da System Manager rolüyle yetki yükseltme açığı
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- Octopus
Yönetici özeti
Bu açık, düşük yetkili bir hesabın sistemde tam yönetici yetkisi kazanmasına olanak tanıyabilir. Yazılım dağıtım altyapısının ele geçirilmesi, iş sürekliliğini ve verilerin güvenliğini ciddi biçimde tehdit eder. Güncellemenin hemen uygulanması önerilir.
ÖzetTürkçe
Octopus Server'ın etkilenen sürümlerinde, System Manager rolüne sahip bir kullanıcı yetkilerini tam sistem Yöneticisi (Administrator) seviyesine yükseltebilmektedir. Açık, yetki kontrollerinde yapılan hatadan (CWE-269: Uygun Olmayan Ayrıcalık Yönetimi) kaynaklanmaktadır. Etkilenen sürümler 2019.0.0 ile 2026.2.13469 öncesi ve 2026.3.0 ile 2026.3.15863 öncesidir.
Saldırgan ne yapabilir?
Saldırgan, System Manager rolüne sahip bir hesabı kullanarak sunucu üzerinde tam yönetici yetkisi elde edebilir. Bu da dağıtım süreçlerini, yapılandırmaları ve bağlı sistemlerdeki kimlik bilgilerini ele geçirme riskini doğurur.
Kaynaktaki açıklama (İngilizce)
In affected versions of Octopus Server, a user holding the System Manager role could escalate their privileges to full system Administrator.
Ne yapmalı?
- Octopus Server'ı 2026.2.13469 veya üzeri ya da 2026.3.15863 veya üzeri bir sürüme güncelleyin. Üretici
- Güncelleme öncesinde System Manager rolüne sahip hesapların listesini gözden geçirin ve gereksiz olanları kaldırın. Genel öneri
- Yönetici yetkisi değişikliklerini ve rol atamalarını inceleyerek beklenmeyen yükseltmeleri tespit edin. Genel öneri
Ek önlemler
- System Manager gibi yüksek yetkili rolleri yalnızca gerçekten ihtiyaç duyan kullanıcılara atayın. Genel öneri
- Yönetici hesaplarında çok faktörlü kimlik doğrulama kullanın. Genel öneri
- Sunucu rol ve yetki değişikliklerini kayıt altına alın ve düzenli olarak izleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Octopus Deploy Octopus Server | ≥ 2019.0.0, < 2026.2.13469 | 2026.2.13469 |
| ≥ 2026.3.0, < 2026.3.15863 | 2026.3.15863 |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.