Fortinet, Ivanti ve ServiceNow, Salı günü ürünlerindeki toplam 15 güvenlik açığını gideren yamalar yayınladı. Bu yamalar, özellikle ServiceNow AI platformunda kritik seviyede bir uzaktan kod yürütme (RCE) açığını ve Ivanti Xtraction aracında iki güvenlik zafiyetini kapatıyor. Fortinet ise 12 farklı güvenlik açığına karşı 11 güvenlik bülteni yayınladı.
ServiceNow, kendi yapay zeka platformunda kritik bir RCE açığını (CVE-2026-6875, CVSS 9.5) düzeltti. Bu açık, kimlik doğrulama gerektirmeden istismar edilebiliyordu. Şirket, "Bu güvenlik açığını, barındırılan örneklere bir güvenlik güncellemesi dağıtarak giderdik. Ayrıca, kendi kendine barındırma yapan müşteriler ve iş ortakları için de ilgili güncellemeler sağlandı" açıklamasını yaptı. ServiceNow, bu açığın henüz aktif olarak istismar edildiğine dair bir bilgi olmadığını belirtti.
Ivanti, veri toplama ve görselleştirme aracı Xtraction'da iki güvenlik açığını düzeltti. CVE-2026-14902 ve CVE-2026-14903 olarak izlenen bu açıklar, orta seviyede bir açık yönlendirme (open redirect) ve yüksek seviyede bir yol geçişi (path traversal) zafiyetini içeriyor. Bu zafiyetler, saldırganların kullanıcıları keyfi harici URL'lere yönlendirmesine ve web kökü dışındaki dosyaları okumasına olanak tanıyabiliyor. Ivanti, bu açıkların da henüz istismar edilmediğini bildirdi.
Fortinet, Salı günü 11 güvenlik bülteni yayınlayarak FortiOS, FortiProxy, FortiSASE, FortiSIEM, FortiClient EMS, FortiAuthenticator, FortiPAM, FortiSwitch Manager, FortiSwitch-Manager Agentless SSL-VPN ve FortiSandbox ürünlerindeki 12 güvenlik açığını duyurdu. Bu açıkların en ciddisi, FortiAuthenticator ve FortiSandbox'ta bulunan yüksek seviyeli zafiyetlerdi. Bu zafiyetler, uzaktan kimlik doğrulaması yapmamış saldırganların hassas bilgilere erişmesine ve tarama yapan sanal makinelerin VNC sunucusuna erişmesine olanak tanıyor.
Detaylar ve Etkileri
Fortinet ayrıca, orta ve düşük seviyeli güvenlik açıklarını da düzeltti. Bu açıklar arasında bellek sızıntıları, komut yürütme, keyfi başlık enjeksiyonu, kimlik doğrulama isteklerinin ele geçirilmesi ve değiştirilmesi, geçerli bir API Anahtarı ile AD Bağlayıcısının taklit edilmesi, dosya sisteminin silinmesi ve kod yürütme gibi sorunlar yer alıyor. Şirket, bu açıkların hiçbirinin saldırılarda kullanıldığına dair bir bilgi paylaşmadı.
Bu güvenlik yamaları, özellikle kurumsal ağlarda kullanılan bu ürünlerin güncel tutulmasının önemini bir kez daha ortaya koyuyor. Özellikle ServiceNow AI platformundaki kritik RCE açığı, kimlik doğrulama gerektirmediği için ciddi bir risk oluşturuyor. Ivanti Xtraction kullanıcılarının da açık yönlendirme ve yol geçişi zafiyetlerine karşı dikkatli olması gerekiyor. Fortinet kullanıcıları ise özellikle FortiAuthenticator ve FortiSandbox'taki yüksek seviyeli açıkları öncelikli olarak yamalamalı.
Siber güvenlik uzmanları, bu tür kritik açıkların hızla kapatılması ve sistemlerin güncel tutulması gerektiğini vurguluyor. Özellikle uzaktan çalışma ve bulut tabanlı hizmetlerin yaygınlaştığı günümüzde, bu tür güvenlik açıklarının istismar edilmesi büyük veri ihlallerine yol açabilir. Kullanıcıların, ilgili güvenlik bültenlerini takip ederek güncellemeleri en kısa sürede uygulaması öneriliyor.
Kaynak: securityweek.com
