- Yama var
- Son 7 gün
- CWE-78
- CWE-749
CVE-2026-66088
openEQUELLA'da system.execute ile kısıtlanmamış komut çalıştırma açığı
- Yayımlandı
- Güncellendi
- 29 Eki 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- MON-CSIRT
Yönetici özeti
Bu açık, sisteme betik ekleyebilen herkesin sunucu üzerinde tam kontrol kurmasına olanak tanıyabilir. Risk yüksektir ve etkilenen sistemlerin hızla güncellenmesi gerekir.
ÖzetTürkçe
openEQUELLA'nın 2026.1 öncesi sürümlerinde, betik motorunun kullandığı system.execute fonksiyonu, verilen işletim sistemi komutlarını herhangi bir doğrulama veya izin listesi olmadan çalıştırır. Betik oluşturabilen veya düzenleyebilen kullanıcılar bu açığı kullanabilir. Etkilenen ürün 2026.1 öncesi tüm openEQUELLA kurulumlarıdır.
Saldırgan ne yapabilir?
Saldırgan, openEQUELLA servis hesabının yetkileriyle keyfi komutlar çalıştırabilir; bu da sunucunun ele geçirilmesine ve sistemdeki verilerin okunmasına veya değiştirilmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
In openEQUELLA before 2026.1, the system.execute() function available to the scripting engine runs supplied operating system commands without validation or an allow-list of permitted executables. A user able to create or edit scripts can use it to execute arbitrary commands with the privileges of the openEQUELLA service account.
Üreticinin çözüm notu (İngilizce)
Upgrade to vendor recommended versions
Ne yapmalı?
- openEQUELLA'yı 2026.1 veya satıcının önerdiği daha yeni bir sürüme yükseltin. Üretici
- Yükseltme yapılana kadar betik oluşturma ve düzenleme yetkisini yalnızca güvenilir yöneticilerle sınırlayın. Genel öneri
- Mevcut betikleri, son değişikliklerini ve system.execute kullanımını gözden geçirin; şüpheli betik varsa inceleyin. Genel öneri
Ek önlemler
- openEQUELLA servis hesabına yalnızca gerekli minimum yetkileri verin. Genel öneri
- Sunucu üzerinde beklenmeyen süreç oluşturulmasını ve ağ bağlantılarını izleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Apereo Foundation openEQUELLA | < 2026.1 | 2026.1 |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.