Selamlar,
ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), 24 Ekim 2026 Cuma günü Bilinen İstismar Edilen Zafiyetler (KEV) kataloğuna iki kritik açık ekledi: Collabora Online Built-in CODE Server (CVE-2026-110447) ve Arista VeloCloud Orchestrator (CVE-2026-114625). Federal sivil kurumlara yama veya azaltım için 26 Ekim 2026 son tarihi verildi. Dün Arista konusunu konuşmuştuk; bugünün yeni bilgisi CISA KEV kaydı ve Collabora tarafı.
Konuda anlatılacaklar
- CVE-2026-110447 (Collabora / Nextcloud)
- CVE-2026-114625 (Arista VCO) hatırlatması
- Neden KEV kaydı önemli?
- Pratik kontrol listesi
1. Collabora CODE: CVE-2026-110447
The Hacker News'e göre CVSS 9.2 olan bu komut enjeksiyonu, Nextcloud içindeki Collabora Online Built-in CODE Server (richdocumentscode) paketini etkiliyor. Yerel belge sunucusu çalışmıyorken proxy.php üzerinden uzaktan kod çalıştırma mümkün. Düzeltme Eylül 2026'da 26.4.303 sürümünde gelmiş. Aktörler Nextcloud sunucularına web shell bırakıp kimlik bilgisi depoları, parola yöneticisi artıkları ve kripto cüzdanları arıyor.
2. Arista VCO: CVE-2026-114625
CVSS 9.9 SQL enjeksiyonu; şirket içi (on-prem) VeloCloud Orchestrator'ı etkiliyor. Geçerli bir oturum + ağ erişimi gerekiyor; en düşük kiracı rolü bile "superuser operator" seviyesine çıkabiliyor. Düzeltilmiş sürümler: 5.2.3.18, 6.1.3.10, 6.4.2.12. Arista'nın paylaştığı saldırı kaynakları: 74.82.197[.]86 ve 38.54.50[.]151 (Japonya jeolokasyonu). Bu, Temmuz'dan bu yana VCO'da sömürülen üçüncü sıfırıncı gün.
3. KEV kaydı neden önemli?
CISA KEV, "aktif olarak istismar ediliyor" demenin resmi hali. ABD federal kurumları için bağlayıcı bir yama takvimi oluşturur; özel sektör için de önceliklendirme sinyali verir. "PoC yok, bekleyelim" demek artık savunulabilir değil.
4. Kontrol listesi
- Nextcloud kullanıyorsanız richdocumentscode / Collabora sürümünü 26.4.303+ yapın; proxy.php erişimini günlükleyin.
- On-prem VCO envanterini çıkarın; 5.2.3.18 / 6.1.3.10 / 6.4.2.12 altına düşenleri yükseltin.
- Yukarıdaki iki IP'yi engelleyin ve VCO erişim günlüklerinde arayın.
- VCO arayüzünü internete açmayın; yönetim ağına kısıtlayın.
- Web shell, beklenmeyen daemon ve yüksek istek oranı için izleme ekleyin.
Nextcloud veya VeloCloud kullananlar: yama süreciniz nasıl ilerliyor?
Yasal uyarı
Bu yazı bilgilendirme ve savunma amaçlıdır. Anlatılan kontrolleri yalnızca kendi sistemlerinizde veya yazılı izinle yapın. İzinsiz erişim, tarama ve sömürü girişimleri TCK 243-245 kapsamında suçtur. TurkTeam white-hat bir topluluktur; çalıntı veri, hesap, combo/log paylaşımı ve hack hizmeti talepleri forum kurallarına aykırıdır.
Kaynaklar