Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-290

CVE-2026-18838

IBM API Connect'te kimlik doğrulama atlatma ve yetkisiz yapılandırma değiştirme açığı

IBM API Connect

Kritik 9,4 CVSS 3.1
Yayımlandı
Güncellendi
7 Kas 2026
Açık yaşı
0 gün
Kaydı açan
ibm

Yönetici özeti

Bu açık, API altyapısının kontrolünün ele geçirilmesine yol açabilir ve bu da hizmet kesintisi, veri sızıntısı ve itibar kaybı riski doğurur. Etkilenen sistemlerin hemen güncellenmesi önerilir.

ÖzetTürkçe

IBM API Connect 12.1.0.0 ile 12.1.1.2 arasındaki sürümlerde, isteklerde sunulan kimlik bilgileri yeterince doğrulanmadığı için uzaktan bir saldırgan hassas bilgilere erişebilir ve API yapılandırmalarını değiştirebilir. Açık, bir çağrıcının başka bir kullanıcıymış gibi davranmasına (kimlik taklidi) olanak tanır. Etkilenen sürümleri kullanan tüm API Connect kurulumları risk altındadır.

Saldırgan ne yapabilir?

Saldırgan kimlik taklidi yaparak hassas bilgilere erişebilir ve API yapılandırmalarını yetkisiz biçimde değiştirebilir.

Kaynaktaki açıklama (İngilizce)

IBM API Connect 12.1.0.0 through 12.1.1.2 could allow a remote attacker to obtain sensitive information and modify API configurations due to improper authentication. Identity information supplied in requests is not sufficiently verified, which could allow a caller to impersonate another user.

Üreticinin çözüm notu (İngilizce)

IBM strongly recommends addressing the vulnerability now by upgrading to v12.1.1.3
Fix Central Link: https://www.ibm.com/support/pages/node/7290205

Ne yapmalı?

  1. IBM'in önerdiği şekilde API Connect'i v12.1.1.3 sürümüne yükseltin. IBM bu güncellemeyi hemen uygulanmasını güçlü biçimde tavsiye etmektedir. Üretici
  2. Güncelleme öncesinde ve sonrasında API yapılandırmalarında beklenmeyen değişiklik olup olmadığını inceleyin. Genel öneri

Ek önlemler

  • API yönetim arayüzüne ve yönetim uç noktalarına erişimi yalnızca yetkili ağlarla ve güvenilir kaynaklarla sınırlandırın. Genel öneri
  • Yönetim ve API çağrılarındaki kimlik doğrulama günlüklerini izleyin ve olağan dışı kimlik kullanımlarını araştırın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
IBM API Connect ≥ 12.1.0.0, ≤ 12.1.1.2 –

Kaynaklar3 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.