Giriş
Oracle, Identity Manager ve Web Services Manager’de kritik bir kimlik doğrulaması gerektirmeyen uzaktan kod yürütme açığına yönelik acil bir güvenlik güncellemesi yayınladı. Bu güvenlik açığı, etkilenmiş sistemlerin ciddi risk altına girmesine neden olabileceği için hayati öneme sahiptir.
Saldırı Nasıl Çalışıyor?
CVE-2026-21992 olarak adlandırılan bu güvenlik açığı, CVSS v3.1 ciddiyet puanı 9.8 olan, düşük karmaşıklıkta uzaktan istismar edilebilir bir zayıflıktır. Bu açık, HTTP üzerinden saldırıya uğrayabilir ve kimlik doğrulaması veya kullanıcı etkileşimi gerektirmemektedir. Bu durum, risk altındaki sunucuların istismar edilmesini kolaylaştırmaktadır.
Etkilenen Sistemler
Açık, aşağıdaki Oracle ürünlerinin belirli sürümlerini etkilemektedir:
- Oracle Identity Manager: 12.2.1.4.0 ve 14.1.2.1.0
- Oracle Web Services Manager: 12.2.1.4.0 ve 14.1.2.1.0
Çözüm ve Korunma
Oracle, kullanıcıların güvenlik açığını ortadan kaldırmak için güncellemeleri mümkün olan en kısa sürede uygulamasını “şiddetle” tavsiye etmektedir. Duyuruda, “Oracle, müşterilerin aktif olarak desteklenen sürümlerde kalmasını ve tüm Güvenlik Uyarılarını ve Kritik Yamanın güvenlik yamanı uygulamasını geciktirmeden yapmalarını önerir” denilmektedir.
Güvenlik güncellemeleri, yalnızca Premier veya Extended Support altında olan sürümler için sağlanmaktadır; dolayısıyla eski ve desteklenmeyen sürümler hala savunmasız kalmaktadır.
Aksiyon
Oracle tarafından sağlanan güncellemeleri hemen uygulamak kritik öneme sahiptir. Aşağıdaki adımları takip edin:
- Etki alanınızda kurulu olan Oracle Identity Manager ve Web Services Manager ürünlerinin sürümünü kontrol edin.
- Eğer belirtilen sürümlerden birine sahipseniz, CVE-2026-21992 zayıflığını gidermek için güncellemeleri uygulayın.
- Güncellemeleri uyguladıktan sonra tüm sistemlerinizi test edin ve güvenlik ayarlarını gözden geçirin.
Unutmayın, güvenlik açığı istismar edilmişse, sistemleriniz ve verileriniz tehlikeye girebilir. Zirve düzeyde güvenlik için düzenli güncellemeleri takip etmek gereklidir.
