BeyondTrust, Uzaktan Destek (RS) ve Ayrıcalıklı Uzaktan Erişim (PRA) ürünlerini etkileyen ve başarılı bir şekilde kullanılması durumunda kimliği doğrulanmamış saldırganların duyarlı cihazların kontrolünü ele geçirmesine olanak verebilecek iki kritik güvenlik açığını gidermek için güncellemeler yayınladı.
Güvenlik açıkları aşağıda listelenmiştir:
CVE-2026-40138 (CVSS puanı: 9,2) - Bomgar Uzaktan Destek ve Ayrıcalıklı Uzaktan Erişim'in kimlik doğrulama alt sisteminde, ağ konumunda bulunan bir saldırganın erişim kontrollerini atlamasına ve yükseltilmiş ayrıcalıklara sahip hesaplar da dahil olmak üzere cihaza yetkisiz erişim elde etmesine izin verebilecek, kimlik doğrulama verilerinin uygunsuz şekilde doğrulanmasından kaynaklanan bir kimlik doğrulama öncesi güvenlik açığı bulunmaktadır.
Teknik Analiz
(CVSS puanı: 9,2) - Bomgar Uzaktan Destek ve Ayrıcalıklı Uzaktan Erişim'in kimlik doğrulama alt sisteminde, ağ konumunda bulunan bir saldırganın erişim kontrollerini atlamasına ve yükseltilmiş ayrıcalıklara sahip hesaplar da dahil olmak üzere cihaza yetkisiz erişim elde etmesine izin verebilecek, kimlik doğrulama verilerinin uygunsuz şekilde doğrulanmasından kaynaklanan bir kimlik doğrulama öncesi güvenlik açığı bulunmaktadır. CVE-2026-40139 (CVSS puanı: 9,2) - Bomgar Uzaktan Destek'in kimlik doğrulama alt sisteminde, kimliği doğrulanmamış uzak bir saldırganın erişim kontrollerini atlamasına ve yükseltilmiş ayrıcalıklara sahip hesaplar da dahil olmak üzere cihaza yetkisiz erişim elde etmesine olanak verebilecek kimlik doğrulama isteklerinin hatalı işlenmesinden kaynaklanan bir kimlik doğrulama öncesi güvenlik açığı bulunmaktadır.
(CVSS puanı: 9,2) - Bomgar Uzaktan Destek'in kimlik doğrulama alt sisteminde, kimliği doğrulanmamış uzak bir saldırganın erişim kontrollerini atlamasına ve yükseltilmiş ayrıcalıklara sahip hesaplar da dahil olmak üzere cihaza yetkisiz erişim elde etmesine izin verebilecek kimlik doğrulama isteklerinin hatalı işlenmesinden kaynaklanan bir kimlik doğrulama öncesi güvenlik açığı bulunmaktadır. CVE-2026-40140 (CVSS puanı: 8,7) - Ağ iletişim alt sisteminde, istemci tarafından sağlanan girişin yetersiz doğrulanmasından kaynaklanan ve kimliği doğrulanmamış uzak bir saldırganın hizmet reddi koşulunu tetikleyerek cihazın kullanılabilirliğini etkilemesine olanak tanıyan bir ön kimlik doğrulama güvenlik açığı.
(CVSS puanı: 8,7) - Ağ iletişim alt sisteminde, istemci tarafından sağlanan girişin yetersiz doğrulanmasından kaynaklanan ve kimliği doğrulanmamış uzak bir saldırganın hizmet reddi koşulunu tetikleyerek cihazın kullanılabilirliğini etkilemesine olanak tanıyan bir ön kimlik doğrulama güvenlik açığı. CVE-2026-40141 (CVSS puanı: 8,5) - Bomgar Uzaktan Destek ve Ayrıcalıklı Uzaktan Erişim'in bir web uygulaması bileşeninde, kullanıcı tarafından sağlanan girişin yetersiz doğrulanmasından kaynaklanan, sınırlı ayrıcalıklara sahip kimliği doğrulanmış bir saldırganın, yetkilendirme kapsamları dışındaki istenmeyen kaynaklara veya verilere erişmesine izin verebilecek bir güvenlik açığı bulunmaktadır.
CVE-2026-40138 ve CVE-2026-40139'un başarıyla kullanılmasının belirli bir kimlik doğrulama yapılandırmasının etkinleştirilmesine bağlı olduğunu belirtmekte fayda var. CVE-2026-40141 durumunda, istismarın gerçekleşmesi halinde belirli izinlere sahip hesaplarla sınırlandırılmıştır.
Nasıl Önlem Alınmalı?
BeyondTrust, Anthropic Claude Opus 4.8 gibi kamuya açık yapay zeka (AI) modellerinin ve kendi tescilli araştırma araçlarının kullanılmasının yardımıyla, dahili olarak tespit edilenlerin tamamının devam eden güvenlik değerlendirmelerinin bir parçası olduğunu söyledi.
"En ciddi güvenlik açıkları, kimliği doğrulanmamış uzak bir saldırganın erişim kontrollerini atlamasına ve belirli yapılandırmalar altında cihaza yetkisiz erişim sağlamasına olanak verebilir" dedi. "Ek güvenlik açıkları hizmet kesintisine, istenmeyen veri erişimine ve farklı yapılandırmalar altında kimliği doğrulanmış bir kullanıcının sistem bütünlüğünü etkileyebilecek şekilde yüksek erişime izin verebilir."
Sorunlar aşağıdaki sürümlerde giderilmiştir -
Uzmanların Görüşleri
Uzaktan Destek RS 25.3.2 veya altı (RS 25.3.3 ve üzeri sürümlerde sabitlenmiştir)
Ayrıcalıklı Uzaktan Erişim PRA 25.3.2 veya altı (PRA 25.3.3 ve üzeri sürümlerde düzeltildi)
BeyondTrust, doğada istismar edilen güvenlik açıklarından hiç bahsetmiyor. Bununla birlikte, RS ve PRA ürünlerindeki (CVE-2024-12356 ve CVE-2026-1731) güvenlik kusurları geçmişte web kabukları ve arka kapıların dağıtılması amacıyla tekrar tekrar istismara maruz kalmış, bu da kullanıcıların düzeltmeleri uygulamak için hızlı hareket etmelerini zorunlu hale getirmiştir.
