Siber Güvenlik Başkanlığı beş yerli üründeki açıklar için bildirim yayımladı, Ontime için başka ürüne geçilmesini önerdi

Siber Güvenlik Başkanlığı, 27 Ekim’de Türkiye’de geliştirilen beş yazılımdaki açıklar için güvenlik bildirimi yayımladı. Açıkların CVE kayıtlarını TR-CERT oluşturdu. Dört üründe açığı kapatan sürüm yayımlandı. İdvlabs’ın Ontime ürününde ise üretici yanıt vermediği için açık giderilmedi.

Keepnet Labs Agentic AI / Agentic Ally

Keepnet Labs Siber Güvenlik A.Ş.’nin Agentic AI / Agentic Ally ürünündeki CVE-2026-92546, CVE kaydında “sahtecilik yoluyla kimlik doğrulama atlatma” (authentication bypass by spoofing) olarak sınıflandırılıyor. Kaydın başlığına göre açık, X-Agentic-Ally-Token adlı bir HTTP başlığı üzerinden kimlik doğrulamanın atlatılmasıyla ilgili. Kayıt ve Başkanlığın bildirimi, açığın nasıl işlediğine dair başka ayrıntı vermiyor.

Açığın CVSS 3.1 puanı 7.5. Puana göre açık ağ üzerinden, giriş yapmadan ve kullanıcı etkileşimi gerektirmeden istismar edilebiliyor ve gizlilik üzerinde yüksek etki yaratıyor. Açık 0ef61f2e sürümüyle kapatıldı. Başkanlık uygulamanın en az 0ef61f2e sürümüne yükseltilmesini öneriyor. Açığı bulan araştırmacı CVE kaydında Caglar Cakici olarak gösteriliyor.

Rolantis Agentis

Rolantis Bilgi Teknolojileri’nin Agentis ürünündeki CVE-2026-100164, sistemin farklı durumlara farklı yanıtlar vermesinden kaynaklanıyor. CVE kaydının başlığına göre bu fark, sistemde hangi kullanıcıların kayıtlı olduğunun anlaşılmasına (user enumeration) izin veriyor. Bu tür açıklar tek başına bir hesaba girmeye yetmiyor, ancak kayıtlı kullanıcıların listesini çıkaran biri bu bilgiyi hedefli oltalama ya da parola deneme saldırılarında kullanabiliyor.

Açığın CVSS 3.1 puanı 7.5. Puana göre açık ağ üzerinden, giriş yapmadan istismar edilebiliyor ve gizlilik üzerinde yüksek etki yaratıyor. Açık 4.8 öncesi sürümlerde bulunuyor. Başkanlık uygulamanın en az 4.8 sürümüne yükseltilmesini öneriyor.

İdvlabs Ontime

İdvlabs Yazılım ve Danışmanlık Hizmetleri’nin Ontime ürünündeki CVE-2026-15586, art arda yapılan doğrulama denemelerinin sınırlandırılmamasından kaynaklanıyor. CVE kaydının başlığına göre bu açık, tek kullanımlık doğrulama kodlarının (OTP) deneme yanılma (brute force) yoluyla bulunmasına ve hesapların ele geçirilmesine yol açabiliyor.

Açığın CVSS 3.1 puanı 5.3. Puana göre açık ağ üzerinden, giriş yapmadan istismar edilebiliyor ve bütünlük üzerinde düşük etki yaratıyor. CVE kaydına göre açık 27 Ekim 2026 tarihine kadarki bütün sürümleri etkiliyor ve kayıtta, üreticiyle bildirimden önce iletişime geçildiği ama hiçbir yanıt alınmadığı belirtiliyor. Başkanlık, açık üretici tarafından giderilmediği için Ontime’ı kullananlara muadil başka bir ürün kullanmalarını tavsiye ediyor. Başkanlık aynı tavsiyeyi 16 Ekim’de de yamasız kalan Costifier ürünü için yapmıştı. Açığı bulan araştırmacı CVE kaydında Berat Arslan olarak gösteriliyor.

Kulga Haber Yazılımı

Kulga Yazılım ve Telekomünikasyon’un Kulga Haber Yazılımı ürünündeki CVE-2026-105323, bir reflected XSS açığı. Bu tür açıklarda saldırgan, hazırladığı özel bir bağlantıyı açan kullanıcının tarayıcısında kod çalıştırabiliyor.

Açığın CVSS 3.1 puanı 6.1. Puana göre istismar için kullanıcının bir işlem yapması, örneğin bağlantıya tıklaması gerekiyor. Açık v26.7.4 sürümünden itibaren bulunuyor ve v26.10.0 sürümüyle kapatıldı. Başkanlık uygulamanın en az v26.10.0 sürümüne yükseltilmesini öneriyor. Açığı bulan araştırmacı CVE kaydında Emirhan Efeoglu olarak gösteriliyor.

Netiket EdoWEB

Netiket Bilgi Teknolojileri’nin EdoWEB ürünündeki CVE-2026-16307, bir IDOR (güvensiz doğrudan nesne erişimi) açığı. CVE kaydına göre kullanıcının kontrol edebildiği bir anahtar üzerinden yetkilendirmenin atlatılmasına ve erişim kontrolüyle doğru biçimde sınırlandırılmamış işlevlere ulaşılmasına izin veriyor.

Açığın CVSS 3.1 puanı 4.3. İstismar için sistemde düşük yetkili bir hesap gerekiyor ve açık yalnızca gizliliği düşük düzeyde etkiliyor. Açık 780-g7 öncesi sürümlerde bulunuyor. Başkanlık uygulamanın en az 780-g7 sürümüne yükseltilmesini öneriyor. Açığı bulan araştırmacı CVE kaydında Ahmed Resül Meriç, koordinasyonu yapan kişi ise Fatih Aktürk olarak gösteriliyor.

Bildirimlerde açıkların saldırılarda kullanıldığına dair bir bilgi yok. Bu ürünleri kullanan kurumların sürümlerini kontrol edip güncellemeleri, Ontime kullananların ise Başkanlığın tavsiyesi doğrultusunda alternatifleri değerlendirmeleri gerekiyor.