Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • Yama var
  • CWE-94

CVE-2026-65660

Microsoft SharePoint Server'da kod enjeksiyonu yoluyla uzaktan kod çalıştırma açığı

Microsoft SharePoint Enterprise Server 2016Microsoft SharePoint Server 2019Microsoft SharePoint Server Subscription Edition

Yüksek 8,8 CVSS 3.1
Yayımlandı
Güncellendi
26 Eki 2026
Açık yaşı
78 gün
Kaydı açan
microsoft
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 25 Eyl 2026 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 28 Eyl 2026.

ÖzetTürkçe

Microsoft Office SharePoint'te kod oluşturulması sırasında uygun denetim yapılmaması ('kod enjeksiyonu'), yetkili bir saldırganın ağ üzerinden kod çalıştırmasına olanak tanıyor. Bu zafiyet CISA'nın bilinen aktif olarak sömürülen zafiyetler (KEV) listesinde yer alıyor ve 25 Eylül 2026 tarihinde eklendi. CVSS v3.1 temel puanı 8.8 (YÜKSEK) olup vektör: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C. Etkilenen ürünler: Microsoft SharePoint Enterprise Server 2016 (>= 16.0.0, < 16.0.5565.1001), Microsoft SharePoint Server 2019 (>= 16.0.0, < 16.0.10417.20198) ve Microsoft SharePoint Server Subscription Edition (>= 16.0.0, < 16.0.19725.20522). CISA, BOD 26-04 kapsamında üreticinin talimatlarına göre önlemlerin uygulanmasını, mevcut önlemler yoksa ürünün kullanımına son verilmesini öneriyor; kurumların her varlığın internete maruziyetini değerlendirmesi gerekiyor.

Kaynaktaki açıklama (İngilizce)

Improper control of generation of code ('code injection') in Microsoft Office SharePoint allows an authorized attacker to execute code over a network.

CISA'nın önerdiği eylem (İngilizce)

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.

Etkilenen sürümler3 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Microsoft SharePoint Enterprise Server 2016 ≥ 16.0.0, < 16.0.5565.1001 16.0.5565.1001
Microsoft SharePoint Server 2019 ≥ 16.0.0, < 16.0.10417.20198 16.0.10417.20198
Microsoft SharePoint Server Subscription Edition ≥ 16.0.0, < 16.0.19725.20522 16.0.19725.20522

Kaynaklar5 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.