SolarWinds Dameware'de yönetilen bilgisayarı ele geçirmeye izin veren 9.9 puanlı açık

SolarWinds, 3 Kasım’da yayımladığı güvenlik duyurusunda Dameware’deki CVE-2026-28336 açığını duyurdu ve aynı gün yayımlanan Dameware 2026.3.1 sürümüyle kapattı. Şirkete göre açık bir komut enjeksiyonu (command injection) açığı ve uzaktan yönetilen bilgisayarın ele geçirilmesine yol açabiliyor. Açığın istismarı için kimlik doğrulaması gerekiyor. SolarWinds’e göre açığı Boeing’in kurumsal güvenlik kırmızı ekibinden Greg Bernatowicz bildirdi.

Açığın puanı

SolarWinds açığın CVSS 3.0 puanını 9.9 olarak veriyor, CVE kaydındaki CVSS 3.1 puanı da 9.9. Puanlamaya göre açık ağ üzerinden, düşük yetkili bir hesapla ve kullanıcı etkileşimi olmadan istismar edilebiliyor. SolarWinds açığın teknik ayrıntılarını paylaşmadı.

CISA’nın CVE kaydına eklediği değerlendirmeye göre 3 Kasım itibarıyla açığın istismar edildiğine dair bir bilgi yok. Değerlendirmede açığın otomatik olarak istismar edilemeyeceği, ancak teknik etkisinin tam olduğu belirtiliyor.

Sürümde kapatılan diğer açıklar

Dameware 2026.3.1’in sürüm notlarına göre sürüm iki Dameware açığını daha kapatıyor:

• CVE-2026-28335 (CVSS 8.4, yüksek): Kod çalıştırmaya yol açabilen bir arabellek taşması (buffer overflow) açığı. İstismarı için kimlik doğrulaması gerekiyor. Bu açığı da Greg Bernatowicz bildirdi.
• CVE-2026-28327 (CVSS 8.2, yüksek): Yalnızca kurulum sırasında ortaya çıkan ve yerel erişim ile yönetici yetkisi gerektiren bir DLL ele geçirme (DLL hijacking) açığı.

Sürüm ayrıca üçüncü taraf bileşenlerdeki iki açığı kapatıyor. Bunlardan biri, Google’ın Brotli sıkıştırma kütüphanesindeki ve Node.js’te de kod çalıştırmak için kullanılan CVE-2026-111497 (CVSS 9.8). Diğeri ise Apache Log4net’in XML çıktı biçimlerindeki, saldırganın bazı günlük kayıtlarının kaybolmasına yol açabildiği CVE-2026-40021 (CVSS 6.3).

Önerilen önlemler

SolarWinds’e göre Dameware 2026.3 ve önceki bütün sürümler etkileniyor ve açık 2026.3.1 sürümünde kapatıldı. Sürüm notlarına göre Dameware Remote Support’un 12.2.4 ve Dameware Mini Remote Control’ün 12.2.2 ve sonraki sürümlerinde kayıtlı bağlantı bilgilerini koruma yöntemi değiştiği için, eski bir sürümden yükseltme yapanların kayıt defteri ayarlarını ve kayıtlı bağlantılarını yükseltmeden önce yedeklemesi gerekiyor. Siber Güvenlik Başkanlığı da güncellemeyle ilgili TR-26-1450 numaralı bildirimi yayımladı.