Yerli veri sızıntısı önleme ürünü Kriptek Vatos DLP'de parolanın açık metin olarak saklanmasına yol açan açık kapatıldı

Siber Güvenlik Başkanlığı, 30 Ekim’de yayımladığı TR-26-1432 numaralı bildirimde, Kriptek Kripto ve Bilişim Teknolojileri Sanayi Ticaret A.Ş.’nin geliştirdiği Vatos DLP ürününde bir güvenlik açığı tespit edildiğini duyurdu. Başkanlığa göre açık nedeniyle siber saldırganların bu açığı kullanarak saldırı gerçekleştirmesi ihtimal dahilinde. Açık CVE-2026-86715 numarasıyla izleniyor.

Açığın kaynağı

CVE kaydına göre açık, bir parolanın açık metin olarak saklanmasından kaynaklanıyor ve bilinen alan (domain) kimlik bilgilerinin kullanılmasına yol açabiliyor. Kayıttaki CVSS 3.1 puanı 7.1. Puanlamaya göre saldırgan için yerel erişim ve düşük yetkili bir hesap gerekiyor, kullanıcı etkileşimi gerekmiyor ve açık gizlilik ile bütünlüğü yüksek düzeyde etkileyebiliyor. CVE kaydını TR-CERT yayımladı ve açığı bildiren kişi olarak Alaeddin Berksoy gösteriliyor. Kayıtta açığın saldırılarda kullanıldığına dair bir bilgi yok.

Etkilenen sürümler

Açık, Vatos DLP’nin 1.1.176 ile 1.1.243 öncesi arasındaki sürümlerini etkiliyor.

Önerilen önlemler

Siber Güvenlik Başkanlığı, ürünün en az 1.1.243 sürümüne ya da sonrasına yükseltilmesini öneriyor.