Hyper E-Ticaret Altyapısı'nda ve pardus-image-writer'da açıklar kapatıldı

Siber Güvenlik Başkanlığı, 12 Kasım’da Hyper Teknoloji Ltd. Şti.’nin Hyper E-Ticaret Altyapısı için TR-26-1531, TÜBİTAK BİLGEM Yazılım Teknolojileri Araştırma Enstitüsü’nün pardus-image-writer ürünü için TR-26-1532 numaralı güvenlik bildirimlerini yayımladı. Başkanlığa göre açıklar nedeniyle siber saldırganların bu açıkları kullanarak saldırı gerçekleştirmesi ihtimal dahilinde. Açıkların CVE kayıtlarını TR-CERT yayımladı.

Hyper E-Ticaret Altyapısı

CVE kayıtlarına göre iki açık da Hyper E-Ticaret Altyapısı’nın kendisini, bayi entegrasyonunu ve vitrin uygulaması ile yönetim panelini etkiliyor:

• CVE-2026-110951: Kaydın başlığına göre doğrulanmamış e-posta üzerinden parola sıfırlama yoluyla hesap ele geçirme açığı. Kayıtta açık, unutulan parola için zayıf parola kurtarma mekanizması (CWE-640) olarak sınıflandırılıyor. CVSS 3.1 puanı 7.5. Puanlamaya göre saldırı ağ üzerinden yapılabiliyor, ancak düşük yetkili bir hesap gerekiyor ve saldırının karmaşıklığı yüksek.
• CVE-2026-111552: Kaydın başlığına göre çok faktörlü kimlik doğrulamanın atlatılması açığı. Kayıtta tek faktörlü kimlik doğrulama kullanımı (CWE-308) olarak sınıflandırılıyor ve kimlik doğrulamanın atlatılmasına izin verdiği belirtiliyor. CVSS 3.1 puanı 7.1. Puanlamaya göre saldırı ağ üzerinden, düşük yetkili bir hesapla yapılabiliyor.

Kayıtlara göre altyapının 1.1, bayi entegrasyonunun 1.2, vitrin uygulaması ve yönetim panelinin 2.1796 öncesi sürümleri etkileniyor. Kayıtlarda açıkları bulan kişi olarak Berk Erenmemiş gösteriliyor. Başkanlık bu ürünleri kullananların en az bu sürümlere ya da sonrasına yükseltmesini öneriyor.

pardus-image-writer

CVE kaydına göre CVE-2026-92083, pardus-image-writer’da Polkit yapılandırma hatası üzerinden yerel yetki yükseltmeye izin veren bir eksik yetkilendirme (missing authorization, CWE-862) açığı. CVSS 3.1 puanı 7.8. Puanlamaya göre saldırgan için yerel erişim ve düşük yetkili bir hesap gerekiyor, kullanıcı etkileşimi gerekmiyor ve açık gizlilik, bütünlük ve erişilebilirliği yüksek düzeyde etkileyebiliyor.

Kayda göre 0.9.0 öncesi sürümler etkileniyor ve açığı bulan kişi Utku Ceylan. Başkanlık uygulamanın en az 0.9.0 sürümüne ya da sonrasına yükseltilmesini öneriyor.

Başkanlık 12 Kasım’da TÜBİTAK BİLGEM’in Pardus About uygulamasındaki bir açık için de bildirim yayımlamıştı.

Bildirimlerde ve CVE kayıtlarında açıkların saldırılarda kullanıldığına dair bir bilgi yok. Hyper altyapısını kullanan e-ticaret işletmelerinin ve Pardus kullanan kurumların sürümlerini kontrol edip Başkanlığın önerdiği sürümlere ya da daha yenilerine güncellemesi gerekiyor.