- Yama var
- Son 7 gün
- CWE-78
CVE-2026-18199
ManageEngine Password Manager Pro ve PAM360'ta kimlik doğrulamalı uzaktan kod çalıştırma açığı
zohocorp Manageengine Pam360zohocorp Manageengine Password Manager Pro
- Yayımlandı
- Güncellendi
- 2 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- Zohocorp
Yönetici özeti
Parola yönetim sistemlerinizde ciddi bir güvenlik açığı bulunmaktadır ve bu açık, sisteme giriş yapabilen bir kullanıcının sunucuyu tamamen ele geçirmesine olanak tanıyabilir. Kurumsal parolaların ve hassas bilgilerin risk altında olması nedeniyle güncellemeler öncelikli olarak yapılmalıdır.
ÖzetTürkçe
ManageEngine Password Manager Pro'nun 13236 sürümünden önceki sürümleri ile PAM360'ın 8601 sürümünden önceki sürümleri, kimlik doğrulamalı bir uzaktan kod çalıştırma (RCE) açığı içermektedir. Açık, işletim sistemi komutlarının hatalı şekilde işlenmesinden kaynaklanan CWE-78 (OS komut enjeksiyonu) sınıfındadır. Etkilenen, parola yönetimi için bu ürünleri kullanan kurumlardır.
Saldırgan ne yapabilir?
Sisteme geçerli bir hesapla erişen bir saldırgan, sunucu üzerinde keyfi komutlar çalıştırarak tam kontrolü ele geçirebilir. Bu durum, saklanan parolaların ve gizli bilgilerin çalınmasına veya değiştirilmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
Zohocorp ManageEngine Password Manager Pro versions before 13236 and PAM360 versions before 8601 are vulnerable to an authenticated Remote Code Execution vulnerability.
Ne yapmalı?
- Password Manager Pro'yu 13236 veya üzeri bir sürüme, PAM360'ı ise 8601 veya üzeri bir sürüme güncelleyin. Üretici
- Güncelleme öncesinde yetkili kullanıcı hesaplarını gözden geçirin ve kullanılmayan veya zayıf parolaya sahip hesapları devre dışı bırakın. Genel öneri
- Güncelleme tamamlanana kadar sistemin erişimini yalnızca güvenilir ağlarla ve gerekli kullanıcılarla sınırlandırın. Genel öneri
Ek önlemler
- Yönetim arayüzünün internete doğrudan açık olmadığından emin olun ve erişimi VPN veya kurumsal ağ ile kısıtlayın. Genel öneri
- Sunucu üzerinde beklenmedik süreç, dosya veya ağ bağlantısı oluşturulup oluşturulmadığını uygulama ve sistem günlüklerinden izleyin. Genel öneri
- Hesap oluşturma ve yetki değişikliklerini düzenli olarak denetleyin, çok faktörlü kimlik doğrulamayı etkinleştirin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler2 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| zohocorp Manageengine Pam360 | < 8601 | 8601 |
| zohocorp Manageengine Password Manager Pro | < 13236 | 13236 |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.