GÜVENLİK VE BT BÜLTENİ · SAYI 5

Güvenlik Bülteni 3–9 Kasım 2026: WordPress Güncelleme Açığı, SonicWall MFA Atlatma ve Zyxel Sıfırıncı Günü

Technodus Ekibi 3–9 Kasım 2026

Bu hafta güncelleme sürecinin kendisi saldırı yüzeyine dönüştü: WordPress’in çekirdek güncellemesi sırasında açılan kısa bir pencere, kimlik doğrulamasız kod çalıştırmaya imkân veriyor ve gerçek saldırılarda kullanılıyor. SonicWall SSL VPN’de SAML ile zorunlu kılınan MFA atlatılabiliyor. Zyxel ise Haziran yamasının durduramadığı bir sıfırıncı gün açığını kapattı. Kasım ayı Microsoft güncellemeleri 10 Kasım’da geliyor; bir sonraki sayıda.

Bu hafta öncelikli 3 adım

  1. WordPress sitelerini 7.1.4 veya kullandığınız dalın son güvenlik sürümüne çıkarın; güncellemeden önce wp-content/upgrade/ dizinine web erişimini engelleyin.
  2. SonicWall Gen7 ve Gen8 cihazlarda SonicOS sürümünü kontrol edin; SAML kullanan SSL VPN’lerde alternatif kimlik doğrulama yöntemlerini kapatın.
  3. Zyxel GS1900 switch’lerde Patch 3 (.3)C0 ile biten) firmware’e geçin, yönetim arayüzünü kullanıcı ağından ayırın ve parolaları değiştirin.
Aktif istismarÖnem: Kritik

WordPress çekirdeği: güncelleme sırasında kimlik doğrulamasız kod çalıştırma, KEV listesinde

CVE-2026-119977, WordPress’in tam paket çekirdek güncellemesinde kullanılan, tahmin edilebilir ve web’den erişilebilen geçici dizinden kaynaklanan bir yarış durumu açığı. Güncelleme sürerken saldırgan bu dizine kendi wp-config.php dosyasını yazarak siteyi kendi veritabanına yönlendirebiliyor, yönetici hesabı açıp eklenti yükleyerek sunucuda kod çalıştırabiliyor. Açığı Picus Security araştırmacısı Umut Bayram buldu; WordPress 28 Ekim’de 7.1.4 sürümüyle düzeltti ve yamayı 4.7’ye kadar desteklenen dallara geri taşıdı.

CISA 3 Kasım’da açığı KEV kataloğuna ekledi; ABD federal kurumlarına yalnızca üç gün süre verildi. Wordfence, hafta sonu güncellediği bildiriminden önceki 24 saatte bu açığı hedefleyen 13.095 saldırıyı engellediğini açıkladı. Açığı Wordfence CVSS 8,1 ile değerlendiriyor, WordPress projesi ise düşük önemde görüyor; saldırı, kısa süren güncelleme penceresini yakalamayı gerektiriyor.

Kimi etkiliyor?

4.7–7.1.3 arası WordPress çalıştıran tüm siteler, özellikle otomatik çekirdek güncellemesi açık olanlar. 4.7’den eski sürümler için yama yok.

Ne yapmalı?

  • Güncellemeden önce web sunucusunda wp-content/upgrade/ dizinine erişimi engelleyin ve 403 döndüğünü doğrulayın; yamasız sürümden ilk geçiş hâlâ eski güncelleyiciyle çalışıyor.
  • 7.1.4’e veya dalınızın son güvenlik sürümüne geçin; mümkünse güncellemeyi web kök dizini dışında açılmış paketle elle yapın.
  • Güncelleme sonrası wp-config.php içeriğini, yönetici hesaplarını ve yeni yüklenen eklentileri kontrol edin.

Technodus ne öneriyor?

Picus Threat Library

Açığı bulan Picus, istismar trafiğini Threat ID 53669 (“Wordpress Web Attack Campaign - 3”) altında kütüphaneye ekledi. WAF ve IPS’inizin wp-content/upgrade/ altındaki setup-config.php isteklerini gerçekten engelleyip engellemediğini güvenli biçimde test edersiniz.

Picus Attack Surface Validation

Pazarlama kampanyalarından kalan, unutulmuş alt alan adlarındaki WordPress siteleri dahil internete açık tüm kurulumlarınızı listeler.

Log360

Web sunucusu erişim kayıtlarını merkezde toplar; güncelleme dizinine gelen istekler ve yeni yönetici hesabı açılması için korelasyon kuralı tanımlanabilir.

Kaynak: BleepingComputer: CISA flags WordPress RCE flaw as actively exploited · Picus Security: CVE-2026-119977, When Updating WordPress Becomes the Vulnerability · WordPress 7.1.4 Security Release

Aktif istismarÖnem: Yüksek

SonicWall SSL VPN: SAML ile zorunlu kılınan MFA atlatılabiliyor

CVE-2026-19868, SonicOS SSL VPN servisinde SAML açık olduğunda ortaya çıkıyor: başka bir kimlik doğrulama yöntemi için geçerli kimlik bilgisine sahip bir kullanıcı SAML denetimini ve SAML’in zorunlu kıldığı MFA’yı atlayabiliyor. CISA 6 Kasım’da açığı KEV kataloğuna ekledi; federal son tarih 20 Kasım.

SonicWall potansiyel istismar raporunu incelediğini açıkladı ancak saldırı ayrıntısı paylaşmadı. Aynı sürümde yönetim arayüzünde iki açık (CVE-2026-107155 ve CVE-2026-107154, CVSS 8,8) ve SSL VPN’de kimlik doğrulama öncesi hizmet kesintisine yol açan bir taşma (CVE-2026-82308) da kapatıldı. Kısacası saldırganın elinde sızdırılmış bir yerel veya LDAP parolası varsa, “MFA açık” varsayımı bu cihazlarda tek başına koruma sağlamıyor.

Kimi etkiliyor?

SSL VPN girişinde SAML kullanan SonicWall Gen7 ve Gen8 güvenlik duvarları. SAML kullanmayan SSL VPN yapılandırmaları bu açıktan etkilenmiyor.

Ne yapmalı?

  • SonicWall bildirimindeki düzeltilmiş SonicOS sürümüne geçin; yönetim arayüzünü internete kapatın.
  • SAML kullanılan SSL VPN’de yerel ve LDAP gibi alternatif giriş yöntemlerini kapatın; gerekmeyen yerel kullanıcıları silin.
  • Son 30 günün VPN oturumlarını MFA adımı görünmeyen başarılı girişler için gözden geçirin.

Technodus ne öneriyor?

Pasif AD hesaplarını temizleme

Bu açık geçerli bir parola gerektiriyor; en kolay bulunan parola da kullanılmayan ama kapatılmamış hesaplara ait olanlar. ADManager Plus ile pasif hesapları bulup devre dışı bırakma adımlarını anlattık.

Falcon Identity Protection

Kimlik doğrulama trafiğinde olağan dışı giriş davranışını tespit eder; VPN’de atlatılan MFA’yı iç sistemlere erişim sırasında yeniden zorunlu kılabilir.

Log360

SonicWall VPN kayıtlarını Active Directory oturumlarıyla ilişkilendirir; mesai dışı ve beklenmeyen ülkeden gelen VPN girişlerinde alarm üretir.

Kaynak: The Hacker News: CISA Flags SonicWall SonicOS MFA Bypass Flaw · Security Affairs: CISA adds SonicWall SonicOS SSLVPN flaw to KEV

Sıfırıncı günÖnem: Yüksek

Zyxel GS1900 switch’ler: Haziran yamasını aşan açıkla 996 cihaz ele geçirildi

Zyxel 3 Kasım’da GS1900 serisi switch’lerin web yönetim yazılımındaki sınır dışı yazma açığı CVE-2026-107441 için bildirim yayımladı. Aynı yerel ağdaki kimliği doğrulanmamış bir saldırgan, özel hazırlanmış bir HTTP isteğiyle cihazda işletim sistemi komutu çalıştırabiliyor. Düzeltme, Ekim’de çıkan ve 10 model için “.3)C0” ile biten Patch 3 firmware’inde.

GreyNoise Eylül’de Kapibala adını verdiği bir grubun 17 Ağustos civarından itibaren 48 ülkede 996 switch’i ele geçirdiğini raporlamış ve saldırıyı Haziran’da yamalanan CVE-2026-7273’e bağlamıştı. Binarly aynı istismar kodunun Haziran yamalı cihazlarda da çalıştığını gösterdi; yani o dönemde yamayı uygulayan kurumlar korunmuyordu. Saldırganlar switch yapılandırmalarını, root parola özetlerini ve ağ bilgilerini topladı.

Kimi etkiliyor?

GS1900-8, -8HP, -10HP, -16, -24, -24E, -24EP, -24HPv2, -48 ve -48HPv2 modelleri; Patch 2 ve öncesi firmware çalıştıran tüm cihazlar.

Ne yapmalı?

  • Her switch’in firmware sürümünü tek tek doğrulayın; Patch 2 ve öncesi açık.
  • Firmware güncellemesi önceki bir ihlali geri almaz: parolaları değiştirin, yapılandırmayı bilinen temiz yedekle karşılaştırın.
  • Yönetim arayüzüne yalnız yönetim VLAN’ından erişim verin.

Technodus ne öneriyor?

Çok lokasyonlu ağ izleme

Şubelere dağılmış switch’lerin envanterini ve erişilebilirliğini OpManager’ın merkez-prob mimarisiyle tek konsolda toplamayı anlattık; hangi şubede hangi modelin çalıştığını bilmek bu tür açıklarda ilk adım.

Network Configuration Manager

Desteklenen cihazlarda yapılandırma yedeği alır, çalışan yapılandırmayı son temiz yedekle karşılaştırır ve izinsiz değişiklikte alarm üretir.

Thinkst Canary

Bu açık yerel ağdan istismar ediliyor. Kullanıcı VLAN’larına yerleştirilen sahte cihazlar, ağda tarama yapan bir saldırganı ilk dokunuşta haber verir.

Kaynak: BleepingComputer: Zyxel fixes zero-day exploited to hack nearly 1,000 network switches · Zyxel Security Advisory: GS1900 series switches

MobilÖnem: Orta

Android Kasım bülteninde 216 açık; 2024’te yamalanan Apple açığı yeniden istismarda

Google’ın 2 Kasım’da yayımladığı Android Kasım 2026 güvenlik bülteni yaklaşık 216 açığı kapatıyor. En ciddisi Framework bileşeninde kullanıcı etkileşimi gerektirmeden uzaktan kod çalıştırmaya imkân veren kritik bir açık (CVE-2026-58868); System bileşeninde de iki kritik uzaktan kod çalıştırma açığı var. Bültende aktif istismar notu bulunmuyor. Tüm düzeltmeler için 2026-11-05 yama seviyesi gerekiyor.

CISA 4 Kasım’da Apple’ın Mayıs 2024’te düzelttiği WebKit açığı CVE-2024-27834’ü KEV kataloğuna ekledi. Sekoia’nın orta-yüksek güvenle APT29’a atfettiği faaliyette saldırganlar, ele geçirilmiş meşru siteler üzerinden yamalanmış Safari ve Chrome açıklarını kullanarak tarayıcı çerezlerini çalan bir zincir yürütüyor. Güncel cihazlar korunuyor; risk, iki yıldır güncellenmemiş iPhone, iPad ve Mac’lerde.

Kimi etkiliyor?

Kurumsal ve BYOD Android cihazlar; iOS/iPadOS 17.5 (eski cihazlarda 16.7.8), macOS Sonoma 14.5 ve Safari 17.5 öncesinde kalmış Apple cihazlar.

Ne yapmalı?

  • Android cihazlarda 2026-11-05 yama seviyesini uyumluluk kuralına ekleyin.
  • Envanterde 2024’ten beri güncellenmemiş Apple cihazları bulun; güncellenemeyenleri kurumsal uygulamalardan kısıtlayın.

Technodus ne öneriyor?

Mobile Device Manager Plus

Android yama seviyesini ve iOS/macOS sürümünü raporlar; uyumsuz cihazları kurumsal e-posta ve uygulamalara erişimden otomatik kısıtlar.

Falcon for Mobile

Mobil cihazlarda istismar ve zararlı uygulama davranışını tespit eder.

Kaynak: Android Security Bulletin — November 2026 · The Hacker News: Hackers exploit patched Apple flaw

Sürüm notları

ManageEngine ürün güncellemeleri

Bu dönemde yayımlanan ManageEngine sürümleri, öne çıkan değişiklikler ve kapatılan güvenlik açıkları.

Applications ManagerBuild 182900 · 3 Kasım 2026
  • Oracle Cloud için 18 yeni izleme türü: API Gateway ve API dağıtımları, container veritabanı, MySQL ve PostgreSQL veritabanı sistemleri, NoSQL, dosya sistemi, ağ yük dengeleyici, site-to-site VPN, Vault ve sanal devre (BGP oturum durumu dahil).
  • Alibaba Cloud ve Huawei Cloud için 83 yeni alt izleyici (hesaplama, veritabanı, depolama, ağ, güvenlik ve mesajlaşma servisleri).
  • Ask Zia (MCP): alarmlar, izleyici sağlığı, metrik eğilimleri ve bildirim eylemleri üzerine sohbet tabanlı sorgulama; yapay zeka ajanları için talimat, model ve araç erişimi tanımlanabiliyor.
  • REST API Sequence izleyicilerine Postman Collection ve OpenAPI 3.x/Swagger 2.0 içe aktarma; MS SQL’de aktif uzun süren sorgu izleme; kullanıcı bazında 1–120 dakika oturum zaman aşımı.

Technodus notu: Bu sürümde güvenlik düzeltmesi yok; ancak 23 Ekim’deki 182800’ü atladıysanız APM Insight ajan açıkları için doğrudan 182900’e geçebilirsiniz. Oracle Cloud kullanan kurumlar bulut veritabanı ve VPN tünellerini şirket içi uygulamalarla aynı konsolda izlemeye başlayabilir. Applications Manager ile uygulama performansı izleme rehberi

Kaynak: ManageEngine sürüm notları

ServiceDesk Plus (şirket içi)Build 16030 · 4 Kasım 2026
  • Request Reprocess API: SLA, tatil veya çalışma saati değiştiğinde mevcut taleplerin hedef süreleri ve gecikme durumu yeniden hesaplanabiliyor (tek çağrıda 100 talebe kadar).
  • Davranış değişikliği: yüzde tabanlı zamanlayıcı eylemlerinde beklemedeki süre artık otomatik olarak hesap dışı tutuluyor; API ile güncellenen taleplerde gecikme durumu anında işaretleniyor.
  • ChatGPT entegrasyonunda model seçimi; Tomcat 9.0.123, jQuery Validation 1.22.1 ve jQuery UI 1.14.2’ye yükseltme.
  • CSS dosyaları çerçeve değişikliği nedeniyle güncellendi; özelleştirilmiş sayfalarda görünüm kayması olabilir.

Güvenlik: Barkod oluşturma listesinde varlık adı üzerinden çalışan kalıcı XSS açığı ve teknisyenlerin kendi kapsamı dışındaki taleplerin değerlendirme e-postalarına API ile erişebilmesi düzeltildi.

Technodus notu: 30 Ekim’deki 16020’yi (LDAP doğrulama açığı) henüz uygulamadıysanız iki sürümü birlikte planlayın. Özelleştirilmiş talep veya portal sayfalarınız varsa yükseltmeyi önce test ortamında deneyin.

Kaynak: ManageEngine sürüm notları

Network Configuration Manager ve Firewall Analyzer12.9.203 · 5 Kasım 2026
  • Her iki üründe aynı güvenlik sürümü yayımlandı.

Güvenlik: Yeni kurulumlarda CVE-2026-91403 ile ilişkili kök sertifikalar güven deposundan kaldırıldı. Bu adım, Ekim ortasında zayıf anahtarları ortaya çıkan eMudhra ara sertifikalarına yönelik sektör genelindeki güven kaldırma sürecinin parçası.

Technodus notu: Değişiklik yeni kurulumlar için tanımlanmış; mevcut kurulumlarda güven deposunu kontrol etmek için destek ekibimize ulaşabilirsiniz. Güvenlik duvarı kural temizliği rehberi

Kaynak: ManageEngine sürüm notları

ServiceDesk Plus CloudKasım sürümü · 3 Kasım 2026
  • Rapor ayarları iki seviyeli: SDAdmin’in belirlediği genel ayarlar ve tablo/matris raporlarında rapor bazında kişisel ayarlar; zamanlanmış raporlarda veri yoksa e-posta göndermeme seçeneği.
  • Zia ile SLA ihlal tahmini: yeni ve güncellenen taleplerde geçmiş verilere dayalı güven seviyesiyle ihlal riski gösteriliyor, eşik aşıldığında bildirim gönderilebiliyor (US, EU ve IN veri merkezleri).
  • Talep ayrıntı sayfasında AI Insights paneli (duygu analizi ve SLA tahmini); Ask Zia artık erişim yetkiniz olan SharePoint dokümanlarından cevap üretebiliyor.

Technodus notu: Bulut sürümünde güncelleme otomatik geliyor. Rapor Ayarları artık yalnız SDAdmin’e açık; daha önce bu ayarı değiştiren teknisyenleriniz varsa yetkiyi gözden geçirin.

Kaynak: ManageEngine sürüm notları

Bu açıklar sizi etkiliyor mu? Picus ile savunmalarınızı bu haftanın saldırılarına karşı test edelim, etkilenen varlıkları ve öncelik sırasını birlikte çıkaralım.

Test talep edin
E-BÜLTEN

Yeni yazılar e-postanıza gelsin

ITSM, siber güvenlik ve izleme konularında yayınladığımız rehberleri ayda birkaç kez, reklamsız paylaşırız.