Adobe Connect'te beşi 10 puanlı 24 açık kapatıldı

Adobe, 10 Kasım’da yayımladığı APSB26-191 numaralı güvenlik bülteniyle web konferans ve çevrim içi eğitim yazılımı Adobe Connect’teki 24 açığı kapattı. Adobe’ye göre açıklar yetki yükseltmeye, keyfi kod çalıştırmaya, bellek içeriğinin açığa çıkmasına ve dosya sistemindeki dosyaların okunmasına yol açabiliyor. Şirket, bültendeki açıkların saldırılarda kullanıldığına dair bir bilgisi olmadığını belirtiyor.

10 puanlı beş açık

CVE kayıtlarına göre beş açığın CVSS 3.1 puanı 10.0. Puanlamaya göre bu açıkların hiçbiri kimlik doğrulaması ya da kullanıcı etkileşimi gerektirmiyor ve ağ üzerinden kullanılabiliyor:

• CVE-2026-121889 ve CVE-2026-121356: Sunucu taraflı istek sahteciliği (SSRF). Kayıtlara göre yetki yükseltmeyle sonuçlanabiliyor.
• CVE-2026-121353: CRLF injection. Kayda göre mevcut kullanıcının bağlamında keyfi kod çalıştırmaya yol açabiliyor.
• CVE-2026-121351: Path traversal. Kayda göre dosya sistemindeki dosyaların okunmasına yol açabiliyor.
• CVE-2026-121352: Hatalı yetkilendirme (incorrect authorization). Kayda göre yetki yükseltmeyle sonuçlanabiliyor.

Diğer açıklar

Sekiz açığın puanı 9.9. Bunlar düşük yetkili bir hesap gerektiriyor ve aralarında dört SQL injection (CVE-2026-121894, CVE-2026-121896, CVE-2026-121898 ve CVE-2026-121908), bir XXE (CVE-2026-121887), bir kod enjeksiyonu (CVE-2026-121892) ve iki path traversal (CVE-2026-121906 ve CVE-2026-121354) açığı var. Kimlik doğrulaması gerektirmeyen iki açık daha bulunuyor: 9.4 puanlı SQL injection açığı CVE-2026-121902 ve 9.1 puanlı hatalı yetkilendirme açığı CVE-2026-121355.

Bültendeki 24 açığın 17’sinin puanı 9 ve üzerinde. Puanı 9’un altında kalan yedi açık SQL injection, XXE, hatalı yetkilendirme ve siteler arası betik çalıştırma (XSS) açıkları.

Etkilenen ve düzeltilmiş sürümler

Adobe’ye göre Adobe Connect’in 12.12 ve önceki sürümleri etkileniyor. Bülten platform olarak Windows’u gösteriyor. Düzeltilmiş sürümler şunlar:

• 12.12.a
• 12.11.i
• 12.10.f
• 12.9.a
• 12.8.a

Adobe güncellemeye 2 numaralı öncelik derecesini verdi ve kullanıcıların kurulumlarını en yeni sürüme güncellemesini öneriyor.

Açıkları bildirenler

Adobe, 15 açık için edra, beş açık için Jim Green (green-jam), birer açık için archyxsec ve Diego (goedix) takma adlı araştırmacılara teşekkür ediyor. Siber Güvenlik Başkanlığı da 11 Kasım’da Adobe Connect için bir güvenlik bildirimi yayımladı.

Adobe Connect’i kendi sunucusunda çalıştıran kurumların sürümlerini kontrol edip düzeltilmiş sürümlerden birine geçmesi gerekiyor. 10 puanlı açıklar kimlik doğrulaması gerektirmediği için internete açık kurulumlara öncelik verilmesi yerinde olur.