Absolute Secure Access sunucularında biri 9.4 puanlı beş açık, düzeltme 14.61'de

Absolute Security, 29 Ekim’de güvenlik bilgileri sayfasında Secure Access sunucu yazılımındaki beş açığı duyurdu. Açıkların CVE kayıtları 2 Kasım’da yayımlandı. Absolute iki açığı kritik, üçünü yüksek önemde olarak sınıflandırıyor. Duyurularda açıkların saldırılarda kullanıldığına dair bir bilgi yok.

Kritik açıklar

• CVE-2026-97718 (CVSS 4.0, 9.4): Secure Access sunucusunun 14.60 sürümündeki bir cross-site request forgery (CSRF) açığı. Absolute’a göre bir güvenlik kontrolü atlatıldığı için saldırgan, bir yöneticiye kendi kontrolündeki bir hesabı oluşturtabiliyor. Puanın vektörüne göre saldırı kimlik doğrulaması gerektirmiyor, ancak kullanıcının, yani yöneticinin bir şekilde etkileşimde bulunması gerekiyor. Absolute’a göre açık yalnızca 14.60 sürümünü etkiliyor. Künyedeki puan ve önem derecesi bu açığa ait.
• CVE-2026-116769 (CVSS 4.0, 9.3): 13.0 ile 14.61 öncesi sürümleri etkileyen bir kimlik doğrulama atlatma açığı. Absolute’a göre saldırgan bu açıkla bir istemcinin güvenlik ayarlarını sunucu üzerinden değiştirebiliyor. Puanın vektörüne göre saldırı kimlik doğrulaması ve kullanıcı etkileşimi gerektirmiyor.

Hizmet aksatma açıkları

• CVE-2026-116766 (CVSS 4.0, 8.3): 13.0 ile 14.61 öncesi sürümlerde girdinin doğru işlenmemesi. Saldırgan sunucuda kalıcı bir hizmet aksatmaya yol açabiliyor.
• CVE-2026-116767 (CVSS 4.0, 7.1): 14.61 öncesi sürümlerde girdinin doğru işlenmemesi. Kimliği doğrulanmış bir saldırgan sunucuda kalıcı bir hizmet aksatmaya yol açabiliyor.
• CVE-2026-116768 (CVSS 4.0, 7.1): 14.61 öncesi sürümlerde uzunluk denetiminin yapılmaması. Kimliği doğrulanmış bir saldırgan ilk kez bağlanırken sunucuda kalıcı bir hizmet aksatmaya yol açabiliyor.

Önerilen önlemler

Absolute’un duyurularındaki etkilenen sürüm bilgilerine göre Secure Access sunucusunun 14.61 sürümü bu beş açıktan etkilenmiyor. Duyurularda güncelleme dışında bir geçici önlem yer almıyor. Absolute, açıkların teknik ayrıntılarını paylaşmadı.