Fortinet, Ivanti ve SAP Kritikal Güvenlik Açıkları İçin Acil Yamanlar Yayınladı
Son günlerde, Fortinet, Ivanti ve SAP gibi büyük teknoloji şirketleri, ürünlerinde tespit edilen ciddi güvenlik açıklarını kapatmak üzere acil yamalar yayımladı. Bu açıklar, düzgün bir şekilde exploit edilirse, kimlik doğrulama atlaması ve kod yürütme gibi son derece tehlikeli sonuçlar doğurabilir.
Fortinet’in Kritik Açıkları
Fortinet, FortiOS, FortiWeb, FortiProxy ve FortiSwitchManager gibi ürünlerinde iki önemli güvenlik açığı tespit etti. Bu açıklar CVE-2025-59718 ve CVE-2025-59719 olarak adlandırılıyor ve CVSS puanları 9.8 olarak değerlendiriliyor. Fortinet, bu açıkların, bir saldırganın sahte bir SAML mesajı aracılığıyla FortiCloud SSO giriş kimlik doğrulamasını atlatmasına olanak tanıdığını bildirdi.
Şirket, FortiCloud SSO giriş özelliğinin varsayılan ayarlarda etkin olmadığını ve sadece yöneticinin cihazı FortiCare’e kaydetmesi durumunda aktif hale geleceğini belirtti. Bu nedenle, kullanıcıların bu özelliği devre dışı bırakmaları şiddetle önerilmektedir.
Ivanti’nin Endpoint Manager Açığı
Ivanti, Endpoint Manager (EPM) ürünü için dört güvenlik açığını kapatan güncellemeler yayınladı. Bu açıkların en kritik olanı CVE-2025-10573 kimlik numarasına sahip ve CVSS puanı 9.6. Bu açık, uzaktan kimlik doğrulama gerektirmeden, kötü niyetli bir saldırganın yöneticinin oturumunu kontrol etmesine olanak tanıyor.
Bu açık, Ivanti EPM uygulamasının belirli sürümlerinde, bir saldırganın sahte yönetilen uç noktalar ekleyerek yönetici panelinde zararlı JavaScript çalıştırmasına sebep olabiliyor. Ivanti, bu açığın sadece kullanıcı etkileşimi ile exploit edilebileceğini ve şu ana kadar herhangi bir saldırının gerçekleşmediğini belirtiyor.
SAP’nin Üç Kritikal Açığı
Son olarak, SAP, Aralık 2025 güvenlik güncellemelerini yayımladı ve toplamda 14 güvenlik açığını düzeltti. Bu açıklar arasındaki üçü kritik seviye olarak sınıflandırılıyor:
- CVE-2025-42880 (CVSS puanı: 9.9) – SAP Solution Manager’da bir kod enjekte etme açığı
- CVE-2025-55754 (CVSS puanı: 9.6) – SAP Commerce Cloud’daki Apache Tomcat içinde birden fazla açık
- CVE-2025-42928 (CVSS puanı: 9.1) – SAP jConnect SDK tümünde bir deserialization açığı
Bu açıkların tespiti, Boston merkezli SAP güvenlik platformu Onapsis tarafından gerçekleştirilmiştir. Uzmanlar, özellikle SAP Solution Manager’ın merkezi rolü nedeniyle bu güncellemelerin bir an evvel uygulanması gerektiğinin altını çiziyor.
Kullanıcıların Yapması Gerekenler
Fortinet, Ivanti ve SAP yazılımlarındaki güvenlik açıklarının sıkça kötü amaçlı kişiler tarafından exploit edilmesi, kullanıcıların maddi ve itibar kaybı yaşamasına yol açabilir. Bu nedenle, kullanıcıların belirtilen yamaları bir an önce uygulamaları önem arz etmektedir. Güvenlik açıklarını temizlemek ve sistemin güvenliğini sağlamak için, her iki şirketin de önerdiği güncellemeleri aktif olarak takip etmek ve devreye almak kritik öneme sahiptir.
Güvenlik durumu her geçen gün daha da önemli hale geliyor ve bu tür açıkların hızlı bir şekilde kapatılması, hem bireysel kullanıcılar hem de kurumlar için hayati bir gereklilik haline gelmiştir.
