İçeriğe geç

Türkçe siber güvenlik haberleri, zafiyet takibi, rehberler ve vaka dosyaları.

RSS
Menü

React Server Components'taki kimlik doğrulamasız kod çalıştırma açığına CVE verildi

React ekibinin 14 Ekim'de yayımladığı sürümlerle kapattığı, React Server Components'ta kimlik doğrulaması olmadan uzaktan kod çalıştırmaya yol açabilen açık için CVE-2026-126187 kaydı Türkiye saatiyle 11 Kasım'da yayımlandı. Siber Güvenlik Başkanlığı aynı gün açık için bildirim yayımladı. React ekibine göre açık yalnızca çok nadir durumlarda tetiklenebiliyor.

Kırmızı Ekip
  • 2 dk okuma
  • 4 kaynak

Kısaca

  • Açık react-server-dom-webpack, react-server-dom-parcel ve react-server-dom-turbopack paketlerinin 19.0.0 ile 19.0.8, 19.1.0 ile 19.1.9 ve 19.2.0 ile 19.2.8 arasındaki sürümlerini ve 19.3.0 sürümünü etkiliyor. Düzeltilmiş sürümler 19.0.9, 19.1.10, 19.2.9 ve 19.3.1.
  • React kodu sunucu kullanmayan uygulamalar ve React Server Components'ı destekleyen bir framework, bundler ya da bundler eklentisi kullanmayan uygulamalar etkilenmiyor.
  • Açığın CVSS 4.0 puanı 9.5. Danışma notunda ve CVE kaydında açığın saldırılarda kullanıldığına dair bir bilgi yok.

React ekibinin 14 Ekim’de yayımladığı sürümlerle kapattığı bir React Server Components açığı için CVE-2026-126187 kaydı Türkiye saatiyle 11 Kasım 01.33’te yayımlandı. Siber Güvenlik Başkanlığı da 11 Kasım’da TR-26-1503 numaralı bildirimle kullanıcı ve sistem yöneticilerine gerekli güncellemeleri yapmalarını tavsiye etti. Açık, kimlik doğrulaması olmadan uzaktan kod çalıştırmaya yol açabiliyor ve CVSS 4.0 puanı 9.5.

Açık

React’in GHSA-xqc2-xf4c-x3h3 numaralı danışma notuna göre React Server Components’ı destekleyen framework’leri hedef alan özel hazırlanmış yükler uzaktan kod çalıştırmaya yol açabiliyor. React ekibi açığın yalnızca çok nadir durumları etkilediğini belirtiyor: yanıtların birden fazla typed array ile birlikte saldırganın denetimindeki bir değeri taşıdığı durumlar. Ekip buna rağmen hemen güncelleme yapılmasını öneriyor.

CVSS puanlamasına göre açık ağ üzerinden, kimlik doğrulaması ve kullanıcı etkileşimi olmadan kullanılabiliyor, ancak saldırının başarılı olması için hedef sistemde belirli koşulların bulunması gerekiyor. Danışma notunda açığı bulan kişi olarak evolutionstorm takma adlı araştırmacı gösteriliyor.

Etkilenen ve düzeltilmiş sürümler

Açık şu üç paketin 19.0.0 ile 19.0.8, 19.1.0 ile 19.1.9, 19.2.0 ile 19.2.8 arasındaki sürümlerinde ve 19.3.0 sürümünde bulunuyor:

  • react-server-dom-webpack
  • react-server-dom-parcel
  • react-server-dom-turbopack

Düzeltme 19.0.9, 19.1.10, 19.2.9 ve 19.3.1 sürümlerine eklendi. Bu sürümler GitHub’da 14 Ekim 2026 tarihini taşıyor.

React ekibine göre şu uygulamalar etkilenmiyor:

  • React kodu sunucu kullanmayan uygulamalar.
  • React Server Components’ı destekleyen bir framework, bundler ya da bundler eklentisi kullanmayan uygulamalar.

Önerilen önlemler

React Server Components kullanan projelerde yukarıdaki üç paketin sürümü kontrol edilmeli ve düzeltilmiş sürümlerden birine geçilmeli. Bu paketler çoğu projede doğrudan değil, kullanılan framework üzerinden geldiği için framework’ün hangi React sürümünü kullandığına da bakılması yerinde olur. Danışma notunda ve CVE kaydında açığın saldırılarda kullanıldığına dair bir bilgi yok.

Kaynaklar

  1. React, GHSA-xqc2-xf4c-x3h3, "Unauthenticated Remote Code Execution in React Server Components"github.com (başka siteye gider)
  2. CVE kaydı, CVE-2026-126187cve.org (başka siteye gider)
  3. React, GitHub sürümler sayfası (19.3.1, 19.2.9, 19.1.10 ve 19.0.9, 14 Ekim 2026)github.com (başka siteye gider)
  4. Siber Güvenlik Başkanlığı, TR-26-1503 (React Kütüphanesi Güvenlik Zafiyeti) (11 Kasım 2026)siberguvenlik.gov.tr (başka siteye gider)

Bu konuda