- Yama var
- Son 7 gün
- CWE-611
CVE-2026-16884
IBM API Connect'te XML dış varlık (XXE) enjeksiyonu açığı
- Yayımlandı
- Güncellendi
- 7 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- ibm
Yönetici özeti
Bu açık, yaygın kullanılan bir API yönetim ürününde kimlik doğrulama gerektirmeden hassas bilgilere erişime izin verebilir. Ciddiyet derecesi kritik olarak değerlendirilmiştir, bu nedenle kurumların en kısa sürede harekete geçmesi gerekir. Gecikme, veri sızıntısı ve itibar kaybı riskini artırır.
ÖzetTürkçe
IBM API Connect ürünün 12.1.0.0 ile 12.1.1.2 arasındaki sürümlerinde XML dış varlık (XXE) enjeksiyonu nedeniyle bir güvenlik açığı bulunmaktadır. Açık, XML verilerini işleyen kötü amaçlı girdilerin hassas bilgilerin okunmasına yol açabilmesinden kaynaklanır. Etkilenen sürümleri kullanan tüm kurumlar risk altındadır.
Saldırgan ne yapabilir?
Uzaktan ve kimlik doğrulaması yapılmadan saldırgan, sunucudaki hassas bilgilere erişebilir. CVSS 3.1 vektörüne göre gizlilik etkisi yüksek, bütünlük ve erişilebilirlik etkisi düşüktür.
Kaynaktaki açıklama (İngilizce)
IBM API Connect 12.1.0.0 through 12.1.1.2 could allow a remote attacker to obtain sensitive information due to an XML external entity (XXE) injection.
Üreticinin çözüm notu (İngilizce)
IBM strongly recommends addressing the vulnerability now by upgrading to v12.1.1.3
Fix Central Link: https://www.ibm.com/support/pages/node/7290205
Ne yapmalı?
- IBM'in önerdiği şekilde API Connect'i 12.1.1.3 sürümüne yükseltin. IBM, bu güncellemeyi hemen uygulamanızı kesin olarak tavsiye etmektedir. Üretici
- Yükseltme yapılana kadar, etkilenen sürümlerin dış ağlara doğrudan erişilebilir olup olmadığını kontrol edin ve gereksiz erişimi kısıtlayın. Genel öneri
Ek önlemler
- API Connect sunucularının günlük kayıtlarını olağandışı XML isteklerine ve beklenmedik dış kaynak çağrılarına karşı izleyin. Genel öneri
- Güvenlik duvarı ve ağ segmentasyonu ile yönetim ve geliştirme ortamlarını üretim ağından ayırın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| IBM API Connect | ≥ 12.1.0.0, ≤ 12.1.1.2 | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.