- Aktif istismar
- Yama var
- CWE-96
CVE-2026-86218
N-able N-central'da kimlik doğrulamasız uzaktan kod çalıştırma açığı
- Yayımlandı
- Güncellendi
- 9 Eyl 2026
- Açık yaşı
- 52 gün
- Kaydı açan
- N-able
Yönetici özeti
N-central uzaktan yönetim platformundaki bu açık, saldırganların şifre bilmeden sistemi ele geçirmesine imkân tanımaktadır ve açığın halihazırda saldırılarda kullanıldığı bilinmektedir. N-central, yönetilen çok sayıda cihaza erişimi olan bir platform olduğundan olası bir ihlalin etkisi çok geniştir. Güncellemenin gecikmeden uygulanması gerekmektedir.
ÖzetTürkçe
N-able N-central yazılımında, kimlik doğrulaması gerektirmeden uzaktan kod çalıştırmaya izin veren kritik bir güvenlik açığı bulunmaktadır. Zafiyet CWE-96 (kod enjeksiyonu) kategorisinde sınıflandırılmıştır ve 2026.3.1.14 sürümünden önceki tüm N-central sürümlerini etkilemektedir. Açık, CISA'nın bilinen istismar edilen açıklar (KEV) listesine eklenmiştir; yani aktif olarak istismar edilmektedir.
Saldırgan ne yapabilir?
Saldırgan, ağ üzerinden kimlik doğrulaması yapmadan ve kullanıcı etkileşimi olmadan sunucuda kendi kodunu çalıştırabilir. Bu durum sistemin gizlilik, bütünlük ve erişilebilirlik açısından tamamen ele geçirilmesine ve yönetilen diğer sistemlere sıçranmasına yol açabilir.
Kaynaktaki açıklama (İngilizce)
N-central is vulnerable to a pre-auth remote code execution This issue affects N-central: before 2026.3.1.14.
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Ne yapmalı?
- N-able N-central'ı vendor tarafından yayımlanan düzeltilmiş sürüm olan 2026.3.1.14 veya daha yenisine güncelleyin. Üretici
- CISA'nın gerekli eylemi doğrultusunda üretici talimatlarındaki önlemleri uygulayın; her varlığın internete açıklık durumunu değerlendirin ve BOD 26-04 yama yönergelerine ile adli bilişim ön inceleme gereksinimlerine uyun. CISA
- Güncelleme hemen yapılamıyorsa N-central sunucusunun internetten erişimini kısıtlayın ve yalnızca güvenilir adreslerden erişime izin verin. Genel öneri
- Güncellemeden önce sistemin istismar edilmiş olabileceğini varsayarak olağandışı süreçler, yeni hesaplar ve şüpheli giden bağlantılar için inceleme yapın. Genel öneri
Ek önlemler
- Yönetim platformlarını doğrudan internete açmayın; VPN veya IP erişim listeleri arkasında tutun. Genel öneri
- N-central sunucusunun erişim ve sistem günlüklerini izleyin, güncelleme öncesi döneme ait anormal istekleri geriye dönük inceleyin. Genel öneri
- N-central üzerinden yönetilen uç noktalarda yetkisiz betik veya yazılım dağıtımı olup olmadığını kontrol edin. Genel öneri
- Üretici duyuru ve durum sayfalarını takip ederek yeni güvenlik güncellemelerini hızla uygulayın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| N-able N-central | < 2026.3.1.14 | 2026.3.1.14 |
Kaynaklar4 kaynak
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.