- Yama var
- Son 7 gün
- CWE-78
- CWE-88
CVE-2026-90865
WS_FTP Server'da FTP bildirim değişkenleri üzerinden OS komut enjeksiyonu
- Yayımlandı
- Güncellendi
- 30 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- ProgressSoftware
Yönetici özeti
Bu açık, dosya transfer sunucusunun tamamen ele geçirilmesine yol açabilecek kritik bir risktir. Etkilenen kurumların verileri ve iş sürekliliği ciddi biçimde tehlikeye girebilir. Sürüm güncellemesi veya satıcı desteğiyle en kısa sürede önlem alınması gerekir.
ÖzetTürkçe
Progress Software WS_FTP Server ürününün 2024.0.7 öncesi ve 2025.0.4 öncesi sürümlerinde, Windows üzerinde çalışan kurulumlarda işletim sistemi komut enjeksiyonu açığı bulunmaktadır. Açık, belirli yapılandırmalarda FTP bildirim değişkenlerinin komut satırına güvensiz biçimde aktarılmasından kaynaklanmaktadır. Etkilenen sistemler, WS_FTP Server'ı bu sürümlerde ve ilgili yapılandırmada çalıştıran kurumlardır.
Saldırgan ne yapabilir?
Saldırgan, yükseltilmiş yetkilerle keyfi komut çalıştırabilir; bu da sunucunun tamamen ele geçirilmesine ve bağlı verilere erişime yol açabilir.
Kaynaktaki açıklama (İngilizce)
An OS command injection vulnerability in Progress Software WS_FTP Server versions prior to 2024.0.7 and 2025.0.4 on Windows could allow arbitrary command execution with elevated privileges under certain configurations.
Üreticinin geçici önlemi (İngilizce)
Contact Progress Software Technical Support for guidance on available mitigations.
Ne yapmalı?
- WS_FTP Server'ı 2024.0.7 veya 2025.0.4 ya da sonrası bir sürüme yükseltin; kullandığınız dal hangisiyse ona uygun sürümü seçin. Üretici
- Güncelleme uygulanamıyorsa Progress Software Teknik Destek ekibiyle iletişime geçerek satıcının önerdiği geçici önlemleri uygulayın. Üretici
- Güncelleme öncesinde sunucuyu gereksiz yere internete açık bırakmayın; erişimi güvenilir ağ adresleriyle sınırlandırın. Genel öneri
Ek önlemler
- Sunucuda beklenmeyen süreç oluşturulması, yeni yönetici hesapları ve alışılmadık dosya değişiklikleri için olay kayıtlarını ve sistem günlüklerini inceleyin. Genel öneri
- WS_FTP Server servisini ayrıcalıklı bir hesapla değil, en az yetkiye sahip bir hesapla çalıştırmayı değerlendirin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Progress Software WS_FTP Server | < 2024.0.7 | 2024.0.7 |
| < 2025.0.4 | 2025.0.4 |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.