Son zamanlarda, açık kaynaklı bir çoklu ajan orkestrasyon çerçevesi olan PraisonAI’de tespit edilen bir güvenlik açığı, siber tehdit aktörleri tarafından kamuya duyurulmasından sadece dört saat sonra istismar edilmeye çalışıldı. Bu durum, güvenlik açıklarının hızla kötüye kullanılmasının artan bir trend haline geldiğini gözler önüne seriyor.

Saldırı Nasıl Çalışıyor?

Bahsedilen güvenlik açığı, CVE-2026-44338 (CVSS puanı: 7.3) olarak tanımlanmıştır ve kimlik doğrulama eksikliği nedeniyle hassas uç noktaların saldırganlara açık hale gelmesine neden olmaktadır. Bu durum, bir saldırganın API sunucusunun korunan işlevlerini bir token olmaksızın çağırabilmesine olanak tanımaktadır. PraisonAI geliştiricilerine göre, AUTH_ENABLED değeri devre dışı bırakılmıştır ve AUTH_TOKEN ise ‘None’ olarak sabitlenmiştir. Bu nedenle, kimlik doğrulama atlaması koşulsuz olarak sağlanmış olmaktadır.

Bu durumda, istismar başarılı olursa ortaya çıkabilecek etkiler şunlardır:

• Unauthenticated enumeration üzerinden yapılandırılmış ajan dosyasının erişimi (/agents).
• Yerel olarak yapılandırılmış “agents.yaml” iş akışının kimlik doğrulama olmaksızın tetiklenmesi (/chat).
• Model/API kotasının tekrar tekrar tüketilmesi.
• PraisonAI.run() sonuçlarının yetkisiz çağrıcılara açılması.

Etkilenen Sistemler

Bu güvenlik açığı, Python paketinin  2.5.6  ile  4.6.33  arasındaki tüm versiyonlarını etkilemektedir.  4.6.34  sürümünde bu açık kapatılmıştır. Güvenlik araştırmacısı  Shmulik Cohen , hatayı tespit edip bildiren kişi olarak kaydedilmiştir.

Sysdig tarafından yayımlanan bir rapor, bu açığın kamuya duyurulmasından saatler içinde kötüye kullanılmaya yönelik denemelerin gözlemlendiğini bildirmektedir. Rapor, uyarının yayımlandıktan üç saat kırk dört dakika sonra, siber hakimiyeti sağlayan bir tarayıcının internet üzerindeki açık uç noktaları taramaya başladığını belirtmektedir.

Çözüm ve Korunma

Kullanıcıların, en kısa sürede aşağıdaki önlemleri alması şiddetle tavsiye edilmektedir:

• En son güvenlik güncellemelerini uygulayın.
• Mevcut dağıtımları denetleyin; şüpheli bir etkinlik varsa hesabınızı gözden geçirin.
• “agents.yaml” dosyasında geçerli olan kimlik bilgilerini değiştirin.

Sysdig, “Kötü niyetli araçlar, AI ve ajan ekosistemi üzerinde ölçeklenmiş durumda. Bu durumda, kimlik doğrulama gerektirmeyen varsayılan ayarlarla gönderilen herhangi bir projede, bilgi sızdırma ile istismar arasındaki sürenin saatler değil, dakikalar ile ölçüldüğünü varsaymak gerekir,” demektedir.

Sonuç olarak, sistem yöneticileri ve kullanıcılar, bu tür açıkların etkisini minimize etmek için üst düzey önlem almalı, güncellemeleri takip etmeli ve sistemdeki yapılandırmaları düzenli olarak gözden geçirmelidir.

Dec 15, 2025Ravie LakshmananVulnerability / Software Security

FreePBX Güvenlik Açıkları ve Riskleri

FreePBX, açık kaynaklı bir özel santralladır ve son zamanlarda önemli bir güvenlik riski ile gündeme gelmiştir. Horizon3.ai tarafından keşfedilen bu güvenlik açıkları, özellikle kritik bir zafiyet olan kimlik doğrulama bypass’ı içermektedir. Bu yazıda, FreePBX gibi sistemlerin güvenliğini tehdit eden bu zafiyetler ve alınması gereken önlemler ele alınacaktır.

CVE-2025-61675: SQL Enjeksiyonu Açığı

Bu zafiyet, FreePBX’in dört farklı uç noktasındaki SQL enjeksiyonunu mümkün kılmaktadır. CVSS skoru 8.6 olan bu açık, kullanıcıların veritabanına izinsiz okuma ve yazma erişimi elde etmesine yol açmaktadır. Bu durum, sisteme saldıran kişilerin kritik verilere ulaşmasını sağlayabilir ve dolayısıyla büyük bir risk taşımaktadır.

CVE-2025-61678: Yetkisiz Dosya Yükleme

FreePBX’teki diğer bir önemli zafiyet ise, yetkili bir kişi tarafından dosya yüklenmesine olanak tanıyan bir açıdır. Bu açık sayesinde, saldırganlar zararlı PHP web shell dosyaları yükleyerek sistemde uzaktan kod çalıştırma olanağına sahip olabilirler. Bu tür saldırılar, özellikle hassas dosyalara erişim sağlama gibi ciddi sonuçlar doğurabilir.

CVE-2025-66039: Kimlik Doğrulama Bypass Açığı

Ayrıca, FreePBX’in bir başka kritik zafiyeti, kimlik doğrulama bypass’ıdır. “Authorization Type” ayarının “webserver” olarak belirlendiği durumlarda, saldırganlar, sahte bir yetkilendirme başlığı göndererek yöneticinin kontrol paneline girebilmektedir. Bu açığın CVSS skoru 9.3’tür ve ciddi bir tehlike arz etmektedir.

Kaynaklanan Tehditler

Bu zafiyetler, hem kimlik doğrulamalı hem de kimlik doğrulamayı atlatabilen saldırganların uzaktan kod yürütmesine olanak tanımaktadır. Normalde, bu güvenlik açıklarının FreePBX’in varsayılan yapılandırmasında geçerli olmadığını belirtmek önemlidir. Ancak, belirli ayarların etkinleştirilmesi durumunda bu zafiyetler saldırganlar tarafından kolayca kötüye kullanılabilir.

Zafiyetlerin Giderilmesi

Bu güvenlik açıkları, FreePBX’in 16.0.92 ve 17.0.6 sürümlerinde giderilmiştir. Kullanıcıların, “Authorization Type” ayarını “usermanager” olarak belirlemeleri, geçici bir önlem olarak önerilmektedir. Ayrıca, sistemi yeniden başlatmaları ve olası kötü niyetli oturumları kapatmaları da tavsiye edilmektedir.

Sonuç ve Öneriler

FreePBX kullanıcıları için en iyi uygulama, “webserver” kimlik doğrulama tipinin kullanımdan kaçınılmasıdır. Saldırganların bu zafiyetleri istismar edebilmesi için yeterli bilgi ve araçlara sahip olduğu göz önüne alındığında, sistemdeki güvenlik önlemlerinin güçlendirilmesi kritik bir önem taşımaktadır.

Güvenlik açıklarının etkilerini en aza indirmek için, kullanıcıların sistemlerini düzenli olarak güncellemeleri ve güvenlik kontrolleri gerçekleştirmeleri önerilmektedir. Böylece, olası saldırılara karşı bir nevi sigorta sağlanmış olacaktır.

Güncel Siber Güvenlik Haberleri – 1

ASUS AiCloud Yönlendiricilerinde Kritik Güvenlik Açığı

ASUS, AiCloud özelliğine sahip yönlendiricilerde bulunan kritik bir kimlik doğrulama atlama açığını içeren dokuz güvenlik açığını düzeltmek için yeni bir yazılım güncellemesi yayınladı.

AiCloud Nedir?

AiCloud, birçok ASUS yönlendiricisinde bulunan bulut tabanlı bir uzaktan erişim özelliğidir. Bu özellik, yönlendiricileri özel bulut sunucularına dönüştürerek uzaktan medya akışı ve bulut depolama hizmeti sunar. Ancak, bu özellik aynı zamanda güvenlik risklerini de beraberinde getirmektedir.

CVE-2025-59366 Açığı ve Etkileri

ASUS’un açıkladığına göre, CVE-2025-59366 açığı, Samba işlevinin beklenmeyen bir yan etkisi sonucunda tetiklenebiliyor. Bu durum, belirli fonksiyonların uygun yetkilendirme olmaksızın çalıştırılmasına neden olabiliyor. Uzaktan saldırganlar, kimlik doğrulama gerektirmeyen, düşük karmaşıklığa sahip bir yol geçişi ve işletim sistemi komut enjeksiyonu zayıflığı kullanarak bu açığı kötüye kullanabilirler.

Kullanıcıların Alması Gereken Önlemler

ASUS, kullanıcıların cihazlarını korumak için hemen yönlendirici yazılımlarını güncellemelerini önemle tavsiye etmektedir. Şirket, kullanıcıların yönlendiricilerini en son yazılım ile güncellemelerinin önemini vurguluyor:

“Cihazlarınızı korumak için, tüm kullanıcıların yönlendirici yazılımlarını derhal en son versiyonla güncellemeleri önerilmektedir.”

ASUS, hangi yönlendirici modellerinin etkilendiğini belirtmedi ancak güncelleme almayacak olan uç birim kullanıcıları için bazı hafifletme önlemleri sundu. Kullanıcılar, yönlendiricilerini yamalamadan potansiyel saldırıları engellemek için, uzaktan erişime açık olan WAN, port yönlendirme, DDNS, VPN sunucusu, DMZ, port tetikleme ve FTP gibi hizmetleri devre dışı bırakmaları öneriliyor.

Ayrıca Alınması Gereken Güvenlik Önlemleri

Kullanıcıların yönlendirici yönetim sayfası ve kablosuz ağları için güçlü parolalar kullanarak saldırı yüzeyini küçültmeleri teşvik edilmektedir. Önceki bir güvenlik açığı olan CVE-2025-2492 bu yılın Nisan ayında düzeltildi ve bu açık da AiCloud’u hedef alıyordu.

Deneyimli güvenlik uzmanları, eski veya güncel olmayan cihazları hedef alan bu saldırıların arkasındaki nedenlerin daha derin olduğunu ve bu tür saldırıların giderek daha karmaşık hale geldiğini belirtiyorlar. Kullanıcıların, yönlendiricilerini güncel tutarak ve gerekli güvenlik önlemlerini alarak bu tür sorunları minimuma indirebilecekleri unutulmamalıdır.

ASUS’un yayınladığı son güncellemeler, kullanıcıların cihazlarını güvende tutmaları açısından önemlidir. Sürekli güncelleme ve robust bir güvenlik protokolü izlemek, siber tehditlere karşı en etkili korunma yoludur.

Güncel Siber Güvenlik Haberleri – 2

Son günlerde, siber güvenlik araştırmacıları, popüler bir kodlama platformu olan Base44‘te tespit edilen kritik bir güvenlik açığını duyurdu. Bu açık, kullanıcılara ait özel uygulamalara yetkisiz erişim sağlama potansiyeli taşıyor. Özellikle, kullanıcıların uygulama geliştirme süreçlerinde büyük kolaylıklar sunan bu platformda, yaşanan sorun, güvenlik açısından dikkate değer bir endişe yaratıyor.

Açığın Basitliği ve Etkisi

Söz konusu açığın keşfine dair detaylar, buluşu gerçekleştiren siber güvenlik firması Wiz tarafından paylaşıldı. Yapılan açıklamada, saldırganların yalnızca açık kaynaklı olan bir app_id değeri ile doğrulanmamış kayıt ve e-posta doğrulama uç noktalarına erişim sağlayabileceği belirtildi. Bu, kullanıcıların bir hesap açmasına ve özel uygulamalara erişmesine olanak tanıyor. Yapılan araştırmalar, bu açığın, tek oturum açma (SSO) koruma mekanizmalarını da aşarak, hedef uygulamalara tam erişim sağladığını ortaya koydu.

Base44’teki Teknik Sorunlar

Base44’teki bu açık, iki kimlik doğrulama ile ilgili uç noktanın uygun şekilde konfigüre edilmediğinden kaynaklanıyor. Özellikle, api/apps/{app_id}/auth/register ve api/apps/{app_id}/auth/verify-otp gibi uç noktalar, hiçbir kısıtlama olmaksızın erişime açılmış. Bu durum, herhangi bir kişi tarafından yalnızca “app_id” değeri kullanılarak özel uygulamalar için kayıt olunmasına ve e-posta doğrulamasının gerçekleştirilmesine olanak tanıyor.

Wiz’in araştırmacısı Gal Nagli, bu güvenlik açığı sayesinde kullanıcıların uygulamaların sayfalarına geçiş yaparak kimlik doğrulamayı geçtiğini ve özel uygulamalara izinsiz erişim sağladığını belirtti.

Yapay Zeka Güvenlik Terimleri

Vibe kodlama, yapay zeka destekli bir yaklaşım olup, kullanıcıların yalnızca bir metin istemi ile uygulama kodu oluşturmasına imkân tanıyor. Ancak bu sistemlerin popülaritesi, birlikte gelen güvenlik sorunlarını da ortaya çıkarıyor. Gelir kaynağı ve veri gizliliği açısından önemli olan özel uygulamalar, bu tür açıklar sayesinde büyük risklerle karşı karşıya kalıyor.

Son zamanlarda haberlerde yer alan diğer siber saldırı türleri, prompt injection saldırıları, jailbreak ve çıkarım hataları gibi kavramları içeriyor. Bu tür saldırılar, yapay zeka sistemlerinin manipüle edilerek yanlış sonuçlar vermesine neden olabiliyor. Dolayısıyla, güvenlik endişeleri daha da derinleşiyor.

Yapay Zeka Sistemlerini Güçlendirmek

Wiz, sorunun çözülmesinin ardından, Base44’e yönelik resmi bir düzeltmenin 24 saat içinde yapıldığını açıkladı. Ancak, ortada kötü niyetli bir istismarın yapılmadığına dair herhangi bir kanıt bulunmamakta. Bu durum, kullanıcıların verilerinin güvende olmadığı gerçeğini değiştirmiyor.

Araştırmalar, yapay zekanın gelişim sürecinin hızla değiştiğini ve bu platformların temeline güvenlik inşa etmenin bir zorunluluk haline geldiğini gösteriyor. Invariant Labs, aynı zamanda toxik flow analizi (TFA) gibi yeni güvenlik yöntemlerini geliştirdi. Bu yöntem, yapay zeka sistemlerinin potansiyel saldırılara karşı korunması için önceden tahmin yapabilmeyi sağlıyor.

Geleneksel Güvenlik Riskleri ve Yeni Tehditler

Açıklanan açık ve diğer özellikler, yapay zeka sistemlerinin dahi geleneksel güvenlik riskleriyle karşılaşabileceğini ortaya koyuyor. MCP (Model Control Protocol) sunucularının birçokunun internete erişiminin olduğu ve kimlik doğrulama mekanizmalarının olmadığı tespit edilmiştir. Bu sunucular, siber suçluların OAuth token’ları, API anahtarları ve veritabanı kimlik bilgilerine ulaşabilecekleri kritik veriler içerebilir.

Knostic tarafından yapılan açıklamada, saldırganların bu tür verileri elde etme potansiyelinin yanı sıra, kullanıcıların sahip olduğu diğer hizmetlere de erişim sağlayabileceği belirtiliyor.

Sonuç olarak, yapay zeka sistemlerinin güvenliği, gelişim hızına bağlı olarak sürekli bir tehdit altında. Bu nedenle, gelecekte benzer açıkların meydana gelmemesi için güvenlik önlemlerinin arttırılması şart. Data ve kaynakların korunması, sadece güncel güvenlik tedbirleriyle sağlanamaz; aynı zamanda sistemlerin başlangıçta güvenli bir şekilde tasarlanması da gereklidir.

Güncel Siber Güvenlik Haberleri – 1