Siber Güvenlik Başkanlığı, yamasız kalan Costifier için başka ürüne geçilmesini önerdi

Siber Güvenlik Başkanlığı, 16 Ekim’de Türkiye’de geliştirilen iki yazılımla ilgili güvenlik bildirimi yayımladı. Bildirimlerden biri, alışılmadık bir tavsiye içeriyor. Başkanlık, SFM Yazılım Teknolojileri’nin Costifier ürünündeki açıklar üretici tarafından giderilmediği için ürünü kullananlara muadil başka bir ürüne geçmelerini öneriyor.

Costifier’daki ilk açık CVE-2026-15219. Sisteme giriş yapmış bir kullanıcının, istekteki bir kimlik numarasını değiştirerek kendisine ait olmayan kayıtlar üzerinde işlem yapabilmesine izin veriyor. Bu tür açıklar IDOR (güvensiz doğrudan nesne erişimi) olarak biliniyor. CVSS 3.1 puanı 6.5. İkinci açık CVE-2026-15575, yalnızca geliştirme sırasında açık olması gereken hata ayıklama modunun canlı sistemde açık bırakılmasından kaynaklanıyor ve dışarıdan bazı bilgilerin görülmesine yol açıyor. CVSS 3.1 puanı 5.3. CVE kayıtlarında, üreticiyle bildirimden önce iletişime geçildiği ama hiçbir yanıt alınmadığı belirtiliyor.

İkinci bildirim, İKAS Teknoloji’nin geliştirdiği ikas e-ticaret altyapısıyla ilgili. CVE-2026-14177 numaralı açıkta, sistemin şifre sıfırlama isteklerine verdiği yanıtlar kayıtlı ve kayıtsız hesaplar için farklıydı. Bu fark, bir e-posta adresinin o mağazada hesabı olup olmadığının anlaşılmasına izin veriyordu. CVSS 3.1 puanı 7.5. Açık tek başına bir hesaba girmeye yetmiyor, ancak hangi adreslerin kayıtlı olduğunu öğrenen biri bu listeyi hedefli oltalama ya da parola deneme saldırılarında kullanabiliyor. Başkanlığın bildirimine göre açık 13 Temmuz 2026 tarihli sürümle giderildi. ikas bir bulut hizmeti olarak sunulduğu için düzeltme mağazalara üretici tarafından uygulanıyor.

Bildirimlerde açıkların saldırılarda kullanıldığına dair bir bilgi yok. Costifier kullanan kurumların, ürünü internete açık tutmamaları ve Başkanlığın tavsiyesi doğrultusunda alternatifleri değerlendirmeleri yerinde olur.