Haftalık Güvenlik Bülteni #3: SonicWall’da MFA atlatma, WordPress ve Ivanti’de aktif sömürü

Kısaca

• SonicWall SonicOS’un SSLVPN hizmetindeki CVE-2026-19868, SAML ile korunan girişlerde MFA’yı atlatmaya izin veriyor. 6 Kasım’da KEV’e girdi. Haber kaynaklarına göre düzeltme 7.3.4-7013 ve 8.2.3-8015, geçici çözüm yok.
• WordPress çekirdeğinde 4.7 ile 7.1.3 arasını etkileyen, yükseltme sırasında kimlik doğrulamasız kod çalıştırmaya izin veren açık 3 Kasım’da KEV’e girdi. Düzeltme 7.1.4 sürümünde.
• Ivanti Connect Secure’da #1’de anlattığımız CVE-2026-104935 zincirine iki açık daha eklendi (CVE-2026-118527 ve CVE-2026-111357). İkisi de 30 Ekim’de KEV’e girdi.
• GitLab’daki CVSS 10,0 puanlı CVE-2026-97229 29 Ekim’de, PHP2Shell açıkları 26 Ekim’de KEV’e girdi.
• Chrome 157, 213 güvenlik düzeltmesiyle çıktı; 7’si “kritik”. Android’in kasım bülteni 2026-11-05 yama düzeyine kadar düzeltme içeriyor.

• 13 · KEV’e giren yeni açık · 26 Ekim - 6 Kasım, son 7 günde 3
• 213 · Chrome 157’deki güvenlik düzeltmesi · 7’si kritik, 77’si yüksek
• 1.471 · Red Hat’in yeni CVE kaydı · 25 Ekim - 6 Kasım, 5’i “kritik”
• 2 · Ivanti’de yeni KEV girişi · 30 Ekim, zincirdeki iki açık
• 10,0 · GitLab CVE-2026-97229 puanı · KEV’e 29 Ekim’de girdi

SonicWall SonicOS SSLVPN: CVE-2026-19868

SSLVPN girişlerinde SAML kullanılıyorsa, başka bir kimlik doğrulama yöntemi için geçerli bilgisi olan biri SAML denetimlerini ve SAML ile zorunlu kılınan MFA’yı atlatabiliyor. CVE kaydına göre Gen7 üzerinde SonicOS 7.3.3-7015 ve öncesi, Gen8 üzerinde 8.2.2-8015 ve öncesi etkileniyor. SonicWall duyuruyu 6 Kasım’da SNWLID-2026-0014 ile yayımladı, CISA aynı gün KEV’e ekledi ve federal kurumlara 20 Kasım’a kadar süre verdi. Üreticinin CVE kaydında puan yok; CISA-ADP 7,5 (CVSS 3.1) veriyor. Düzeltme sürümlerini (7.3.4-7013 ve 8.2.3-8015) ve geçici çözüm olmadığı bilgisini haber kaynaklarından aldık, çünkü SonicWall’un duyuru sayfası bu çalışmada okunamadı; uygulamadan önce duyurudan doğrulayın. Etkilenenler çoğunlukla kurumlar: uzaktan erişim için SAML’li SSLVPN kullanan SonicWall güvenlik duvarları.

WordPress çekirdeği: CVE-2026-119977

Çekirdek yükseltmesi sırasında kullanılan geçici dosya yolları tahmin edilebilir ve web’den erişilebilir. Bu yüzden kimlik doğrulamasız bir saldırgan, yükseltmenin sürdüğü kısa sürede sunucuda kod çalıştırabiliyor (CVSS 3.1: 8,1, Wordfence). CVE kaydı 4.7 ile 7.1.3 arasındaki sürümleri etkilenmiş sayıyor. WordPress 7.1.4’ü 28 Ekim’de yayımladı; arka plan güncellemesi açık sitelerde otomatik geliyor. Sürüm notu bu açık için CVE numarası vermiyor ve eski dallara düzeltme taşımanın sürdüğünü belirtiyor. CISA 3 Kasım’da KEV’e ekledi. Kendi sitesini barındıran ev kullanıcıları da kurumlar da etkilenir; otomatik güncellemeyi kapatmış siteler elle yükseltmeli.

Ivanti Connect Secure: CVE-2026-118527 ve CVE-2026-111357

#1’de yazdığımız CVE-2026-104935 (kimlik doğrulama atlatma) tek başına kalmadı. CISA’nın KEV kayıtlarına göre CVE-2026-118527 (tahmin edilebilir dosya adı, giriş yapmış saldırgan diske içerik yazabiliyor, CVSS 4,3) ve CVE-2026-111357 (root’a yetki yükseltme, CVSS 7,0) onunla zincirlenebiliyor; KEV’e girmeleri üçünün de gerçek saldırılarda kullanıldığını gösteriyor. İkisi de 30 Ekim’de KEV’e girdi. CVE-2026-118527 kaydına göre düzeltme 22.8R2.6 ve 25.1.1.3 sürümlerinde; CVE-2026-104935 için 25.1.3.0 ve sonrası. Ivanti’nin danışma sayfası bu çalışmada yüklenmediği için CVE-2026-111357’nin düzeltme sürümünü yalnızca haber kaynaklarından (aynı iki sürüm) öğrenebildik. CISA, Integrity Checker aracının CVE-2026-104935 sömürüsünü göstermeyebileceğini söylüyor, çünkü komutlar bellekte çalışıyor. Kurumlar etkilenir.

• 12 Ekim · GitLab 19.4.2, 19.3.5 ve 19.2.8 çıktı · CVE-2026-97229 düzeltmesi
• 26 Ekim · Apple iOS 27.2, iOS 26.7.2, iOS 18.7.11 ve macOS güncellemeleri · Apple’ın sürüm listesindeki tarih
• 28 Ekim · WordPress 7.1.4 çıktı · Yükseltme açığının düzeltmesi
• 29 Ekim · GitLab ve Cisco ASA/FTD açıkları KEV’e girdi
• 30 Ekim · Ivanti’nin iki açığı KEV’e girdi
• 2 Kasım · Android kasım bülteni yayımlandı · 6 Kasım’da sürüm 1.1 ile güncellendi
• 3 Kasım · Chrome 157 kararlı kanala çıktı · WordPress açığı KEV’e girdi
• 6 Kasım · SonicWall SNWLID-2026-0014 ve KEV girişi · Son tarih 20 Kasım

Haftalık Güvenlik Bülteni #2

Haftalık Güvenlik Bülteni #1

Öncelik sırası

• SonicWall’u kontrol edin · SSLVPN için SAML kullanıyorsanız SonicOS’u 7.3.4-7013 (Gen7) ya da 8.2.3-8015 (Gen8) sürümüne taşıyın. Sürümleri SonicWall’un SNWLID-2026-0014 duyurusundan doğrulayın.
• WordPress’i 7.1.4’e getirin · Otomatik güncellemeyi kapattıysanız elle yükseltin. Eski bir dalda kalıyorsanız dalınız için çıkan güvenlik sürümünü kontrol edin.
• Ivanti Connect Secure’u güncelleyin · 22.8R2.6, 25.1.1.3 ya da daha yenisi. Ele geçirilme şüphesi varsa CISA’nın önerdiği kurtarma adımlarını izleyin. 22.8 dalının destek sonu 31 Ocak 2027.
• GitLab’ı kontrol edin · 19.4.2, 19.3.5 ya da 19.2.8 ve sonrası olmalı. Ruby’nin kullanıcıdan gelen metinden regex derleyen uygulamaları için Ruby 4.0.9, 3.4.12 ya da 3.3.13 gerekiyor.
• PHP, Brotli ve Adobe Commerce · PHP 8.2.35, 8.3.36, 8.4.27 ya da 8.5.12; Brotli 1.0.10, 1.1.1 ya da 1.2.1; Adobe Commerce için Temmuz 2026 yamaları.
• Tarayıcıları ve telefonları güncelleyin · Chrome 157.0.8103.38 ya da sonrası, Android yama düzeyi 2026-11-05, Apple tarafında iOS 27.2 / 26.7.2 / 18.7.11 ve macOS 26.7.2. Sonra tarayıcıyı yeniden başlatın.
• Cisco ASA/FTD ve VMware ESX · Düzeltilmiş sürümleri Cisco ve Broadcom danışmalarından doğrulayın.

• KEV’e girmek ne demek? · CISA o açığın gerçek saldırılarda kullanıldığını doğruladı demek. Federal kurumlara genellikle üç gün ile iki hafta arasında yama süresi verilir.
• Puanı 2,7 olan bir açık neden KEV’de? · CVSS puanı açığın teknik ağırlığını gösterir. KEV ise gerçek saldırıda kullanılıp kullanılmadığına bakar. Düşük puanlı bir açık, saldırganın izini silmek gibi bir iş görüyorsa yine de işe yarar.
• SAML kullanmıyorum, SonicWall açığı beni ilgilendirir mi? · CVE kaydı ve haber kaynakları açığın SSLVPN girişlerinde SAML kullanılan kurulumları etkilediğini söylüyor. Yine de sürüm 7.3.4-7013 / 8.2.3-8015’ten eskiyse güncellemek doğru olur.
• WordPress siteme otomatik güncelleme geldi mi? · Arka plan güncellemesi açıksa sürüm 7.1.4’e kendiliğinden geçmiş olmalı. Panel’deki Güncellemeler sayfasından ya da Hakkında penceresinden sürümü doğrulayın.
• Bir sonraki bülten ne zaman? · Her hafta. Bu sayıdaki açıkların durumu bir sonraki sayıda yer alacak.