Yerli güvenlik ürünü TR7 ASP'de giriş gerektirmeyen iki kritik açık kapatıldı

Siber Güvenlik Başkanlığı, TR7 Siber Savunma’nın geliştirdiği TR7 ASP ürününde iki güvenlik açığı bulunduğunu 14 Ekim’de bildirdi. İki açığın da CVSS puanı 9.8. Açıklar ürünün hem sanal hem fiziksel cihaz sürümlerini etkiliyor.

İlk açık, CVE-2026-16740, kritik bir işlevin kimlik doğrulaması olmadan çağrılabilmesine dayanıyor ve bu yolla işletim sistemi komutu çalıştırmaya varıyor. İkinci açık, CVE-2026-16741, doğrudan bir işletim sistemi komutu enjeksiyonu. Her iki açık da uzaktan ve giriş gerektirmeden kullanılabiliyor, yani saldırganın geçerli bir hesaba ihtiyacı yok. CVE kayıtlarında açıkların saldırılarda kullanıldığına dair bir bilgi yok.

Bir siber savunma ürününde bu tür açıkların bulunması, güvenlik için kurulan bir aracın kendisinin giriş kapısına dönüşebildiğini gösteriyor. Bu durum yeni değil; güvenlik duvarları, VPN’ler ve benzeri koruma ürünleri, internete açık durdukları için saldırganların sık hedefi. Bu yüzden koruma amaçlı ürünlerin de güncel tutulması, korudukları sistemler kadar önemli.

Etkilenen sürümler

Açıklar, TR7 ASP’nin 1.0 serisinde 1.0.40.236 ile 1.0.1554.2331 öncesi arasını, 1.6 serisinde ise 1.6.42.239 ile 1.6.1554.2331 öncesi arasını etkiliyor.

Önerilen önlemler

TR7 ASP kullanan kurumların 1.0.1554.2331 ya da 1.6.1554.2331 sürümüne veya daha yenisine geçmesi gerekiyor. Açıklar giriş gerektirmeden kullanılabildiği için, ürünün yönetim arayüzüne internetten erişimin sınırlanması da yerinde olur.