AnyDesk'in Linux sürümünde onay gerektirmeden root yetkisine giden kritik açık

Uzak masaüstü yazılımı AnyDesk’in Linux sürümünde, kimliği doğrulanmamış bir saldırganın cihazda root yetkisiyle kod çalıştırmasına izin veren kritik bir açık kapatıldı. CVE-2026-109390 numaralı açık, AnyDesk’in oturum protokolünde, gelen bir veri paketinin uzunluğunun doğru kontrol edilmemesinden kaynaklanan bir bellek taşması (heap overflow). CVSS puanı 9.8.

Açığı özellikle tehlikeli yapan iki şey var. Birincisi, saldırının işlemesi için karşı tarafın “masaüstünü kontrol etmesine izin veriyor musunuz” onayını vermesi gerekmiyor. Saldırgan doğrudan cihazın AnyDesk servisine bağlanıp açığı tetikleyebiliyor. İkincisi, AnyDesk servisi Linux’ta genellikle root yetkisiyle çalıştığı için, başarılı bir saldırı doğrudan root erişimi veriyor. Yani saldırgan cihazın tamamını ele geçirebiliyor.

AnyDesk, açığın yalnızca Linux sürümünü etkilediğini, Windows ve macOS sürümlerinin etkilenmediğini açıkladı. Açık 8.0.3 sürümüyle kapatıldı. Açığın saldırılarda kullanıldığına dair bir bilgi yok, ancak güvenlik araştırmacısı Rick de Jager çalışan bir örnek sömürü kodunu (PoC) herkese açık olarak yayımladı. Bu kod, Linux’ta cihazın 7070 numaralı TCP portuna doğrudan bağlanarak çalışıyor. PoC’nin açık olması, açığın yakın zamanda saldırılarda kullanılma ihtimalini artırıyor.

Önerilen önlemler

Linux’ta AnyDesk kullanan herkesin 8.0.3 ya da daha yeni bir sürüme geçmesi gerekiyor. Hemen güncelleme yapılamıyorsa, cihazın 7070 numaralı TCP portuna dışarıdan erişimi engellemek saldırı yüzeyini azaltır, ancak bu güncellemenin yerini tutmaz. AnyDesk’i uzak masaüstü için internete açık bırakan kurumların bu portu yalnızca güvenilen adreslere açması yerinde olur.