Siber Güvenlik Başkanlığı altı yerli üründeki açıklar için bildirim yayımladı

Siber Güvenlik Başkanlığı, 9 Kasım’da Türkiye’de geliştirilen altı yazılımdaki açıklar için güvenlik bildirimi yayımladı. Bildirimler TÜBİTAK BİLGEM Yazılım Teknolojileri Araştırma Enstitüsü’nün Pardus Boot Repair, Liderahenk ve Pardus MyComputer ürünlerini, C-Prot A.Ş.’nin C-Prot AppDefense ürününü, Osbil Technology Ltd.’nin oPanel ürününü ve HAVELSAN A.Ş.’nin Liman Render Engine ürününü kapsıyor. Açıkların CVE kayıtlarını TR-CERT oluşturdu. Altı üründe de açığı kapatan sürüm var ve Başkanlık her ürün için yükseltilmesi gereken en düşük sürümü belirtti.

TÜBİTAK BİLGEM Pardus Boot Repair

Pardus Boot Repair’deki CVE-2026-94434, CVE kaydında OS command injection, yani işletim sistemi komutlarında kullanılan özel karakterlerin etkisizleştirilmemesi açığı olarak sınıflandırılıyor (CWE-78). Bu tür açıklarda saldırgan, uygulamanın çalıştırdığı bir komuta kendi komutunu ekleyebiliyor. Kayıt ve Başkanlığın bildirimi, açığın uygulamanın hangi bölümünde bulunduğunu belirtmiyor.

Açığın CVSS 3.1 puanı 8.8. Puana göre açık ağ üzerinden, düşük yetkili bir hesapla ve kullanıcı etkileşimi gerektirmeden istismar edilebiliyor, gizlilik, bütünlük ve erişilebilirlik üzerinde yüksek etki yaratıyor. CVE kaydına göre açık 1.0.8 ile 1.0.9 öncesi sürümleri etkiliyor. Başkanlık uygulamanın en az 1.0.9 sürümüne yükseltilmesini öneriyor. Kayıtta açığı bulan araştırmacılar Özcan Ersan ve Serdar Çatal olarak gösteriliyor.

Başkanlık 6 Kasım’da da aynı araçtaki iki dizin geçişi açığı için bildirim yayımlamış ve en az 1.1.0 sürümünü önermişti. O açıkların CVE kayıtlarına göre 1.0.9 sürümü de etkileniyor. Bu yüzden yeni bildirimdeki en düşük sürüm olan 1.0.9 yeterli değil, aracın 1.1.0 ya da daha yeni bir sürüme yükseltilmesi gerekiyor. CVE kayıtlarındaki etkilenen sürüm aralıklarına göre 1.1.0 sürümü iki bildirimdeki açıkların hiçbirinden etkilenmiyor.

Osbil Technology oPanel

Osbil Technology’nin oPanel ürünündeki CVE-2026-16283 de bir OS command injection açığı (CWE-78). Açığın CVSS 3.1 puanı ve puanlama ayrıntıları Pardus Boot Repair’deki açıkla aynı: 8.8, ağ üzerinden, düşük yetkili bir hesapla ve kullanıcı etkileşimi olmadan istismar edilebiliyor. CVE kaydına göre açık 1.20.66 öncesi sürümleri etkiliyor. Başkanlık uygulamanın en az 1.20.66 sürümüne yükseltilmesini öneriyor. Kayıtta açığı bulan araştırmacı Deniz Bektaş olarak gösteriliyor.

TÜBİTAK BİLGEM Liderahenk

Liderahenk’teki CVE-2026-94249, CVE kaydında yetkilendirme kontrolü eksikliği (missing authorization, CWE-862) olarak sınıflandırılıyor. Kayda göre açık, yetkilerin kötüye kullanılmasına izin veriyor.

Açığın CVSS 3.1 puanı 8.1. Puana göre açık ağ üzerinden, düşük yetkili bir hesapla ve kullanıcı etkileşimi olmadan istismar edilebiliyor, gizlilik ve bütünlük üzerinde yüksek etki yaratıyor, erişilebilirliği etkilemiyor. Açık 2.0.3 öncesi sürümleri etkiliyor. Başkanlık uygulamanın en az 2.0.3 sürümüne yükseltilmesini öneriyor. Kayıtta açığı bulan araştırmacı Burak Korkmaz olarak gösteriliyor.

C-Prot AppDefense

C-Prot’un AppDefense ürünündeki CVE-2026-95648, CVE kaydında dinamik olarak belirlenen nesne özniteliklerinin değiştirilmesinin yeterince denetlenmemesi (improperly controlled modification of dynamically-determined object attributes, CWE-915) olarak sınıflandırılıyor. Kayda göre açık yetki yükseltmeye (privilege escalation) yol açıyor.

Açığın CVSS 3.1 puanı ve puanlama ayrıntıları Liderahenk’teki açıkla aynı: 8.1, ağ üzerinden, düşük yetkili bir hesapla istismar edilebiliyor, gizlilik ve bütünlük üzerinde yüksek etki yaratıyor. Açık 1.0.2729 öncesi sürümleri etkiliyor. Başkanlık uygulamanın en az 1.0.2729 sürümüne yükseltilmesini öneriyor. Kayıtta açığı bulan araştırmacı Mehmet Nuri Üstek olarak gösteriliyor.

HAVELSAN Liman Render Engine

HAVELSAN’ın Liman Render Engine ürünündeki CVE-2026-119474, CVE kaydında kritik bir kaynak için hatalı izin atanması (incorrect permission assignment for critical resource, CWE-732) olarak sınıflandırılıyor. Kayda göre açık yetki yükseltmeye yol açıyor.

Açığın CVSS 3.1 puanı 7.8. Puana göre açık yalnızca yerel erişimle, düşük yetkili bir hesapla istismar edilebiliyor, gizlilik, bütünlük ve erişilebilirlik üzerinde yüksek etki yaratıyor. Açık 1.2-81 öncesi sürümleri etkiliyor. Başkanlık uygulamanın en az 1.2-81 sürümüne yükseltilmesini öneriyor. Kayıtta açığı bulan araştırmacı Kaan Gokcek olarak gösteriliyor.

TÜBİTAK BİLGEM Pardus MyComputer

Pardus MyComputer’daki CVE-2026-92606 bir TOCTOU (time-of-check time-of-use) yarış durumu açığı (CWE-367). Bu tür açıklarda bir kaynağın kontrol edildiği an ile kullanıldığı an arasındaki kısa sürede kaynak değiştirilebiliyor.

Açığın CVSS 3.1 puanı 6.0. Puana göre açık yerel erişim, düşük yetkili bir hesap ve kullanıcı etkileşimi gerektiriyor, saldırının karmaşıklığı yüksek. Açık bütünlük ve erişilebilirlik üzerinde yüksek etki yaratıyor, gizliliği etkilemiyor. CVE kaydına göre açık 0.8.0 ile 0.8.1 öncesi sürümleri etkiliyor. Başkanlık uygulamanın en az 0.8.1 sürümüne yükseltilmesini öneriyor. Kayıtta açığı bulan araştırmacılar, Pardus Boot Repair’deki açıkta olduğu gibi Özcan Ersan ve Serdar Çatal olarak gösteriliyor.

Bildirimlerde ve CVE kayıtlarında açıkların saldırılarda kullanıldığına dair bir bilgi yok. Bu ürünleri kullanan kurumların sürümlerini kontrol edip Başkanlığın önerdiği sürümlere ya da daha yenilerine güncellemesi gerekiyor.