5 Ağustos 2026'da Lidor Ben Shitrit liderliğindeki Novee araştırmacıları Black Hat USA'da, dört kurumsal Java platformunda on iki açığı ortaya koyan bir çalışma sundu. Bunların arasında, iş akışı platformu Bonita BPM'de ve açık kaynaklı ERP olan Apache OFBiz'de hiç oturum açmadan sunucuda kod çalıştırmaya imkân veren iki kritik zincir bulunuyor. Her işletme sahibi için pratik sonuç şu: dahili olduğu için korunduğunu varsaydığınız sistem, erişime açık ve yamasızsa iki tarayıcı isteğiyle ele geçirilebilir. Gerçek koruma, ağ çevresine duyulan güvenle değil, çalıştırdığınız sistemlerin envanteri ve düzenli bir yama rutiniyle başlar.

Araştırmacılar gerçekte ne buldu

Araştırma tek bir çarpıcı hataya dayanmıyordu. Küçük ve yaygın ara katman hatalarının birleştirilmesiyle kuruldu: bir URL'nin ayrıştırılma biçimindeki farklılıklar, istekleri işleyen katmandaki eksik koruma, kaynak koda gömülü şifreleme anahtarları ve güvensiz şablon değerlendirmesi. Tek başına hiçbiri tehlikeli görünmüyor ve tam da bu yüzden kod incelemesinden geçip düşük öncelikli olarak kayda alınıyorlar. Birbirine zincirlendiklerinde ise anonim bir ziyaretçiden sunucuda komut çalıştırmaya kadar uzanan eksiksiz bir yol oluşturuyorlar. On iki açığın dördü kimlik doğrulamadan önce çalışıyor, biri de çalıştırma sanal alanındaki yalıtımı kırıyor.

BadBonita zinciri: üç zayıf nokta tam bir ele geçirmeye dönüşüyor

İlk zincir Bonita BPM'nin 10.4.3 sürümünü etkiliyor. Birbirine bağlı üç zayıflıktan oluşan bir kimlik doğrulama atlatmasıyla başlıyor: ..; gösterimini kullanan dizin geçişi, tam yol yerine bir alt dizeyi eşleştiren bir güvenlik filtresi ve dahili istek yönlendirme mantığı. Sonuçta bir istek, dışarıdan kimsenin görmemesi gereken dahili bir API'ye ulaşıyor. Bu API güvenilmeyen XML'i kabul edip doğrudan XStream kütüphanesine aktarıyor, kütüphane bu XML'in serileştirmesini çözüyor ve iyi bilinen bir Commons Collections gadget zinciri üzerinden süreç, sunucuda çalışan Groovy komutlarıyla sona eriyor.

Bu adımların hiçbirinin sızdırılmış bir parola, sosyal mühendislik ya da önceden erişim gerektirmediğine dikkat edin. Saldırganın tek ihtiyacı, sisteme ağ üzerinden erişilebilmesidir.

OFBiz: açık bir depoda yayımlanmış bir imzalama anahtarı

CVE-2026-31986 olarak izlenen ve kritik olarak derecelendirilen ikinci sorun, tek oturum açma etkinleştirildiğinde Apache OFBiz'in 24.09.05 sürümünü etkiliyor. Sorun şu: varsayılan imzalama anahtarları herkese açık yayımlanan kaynak kodunda bulunuyor ve birçok kurulum varsayılan değerlere dokunmadığı için saldırgan, bir yönetici hesabı adına geçerli bir SSO belirteci üretebiliyor. Ardından istek, java, process ve import gibi kelimeleri engellemeye çalışan bir engelleme listesini aşıyor; ancak liste büyük-küçük harfe duyarlıydı ve belirli kalıpları kontrol ediyordu, bu yüzden bir harfin büyüklüğünü değiştirmek ya da otomatik içe aktarılan başka bir sınıf adını kullanmak sızmak için yeterli. Nihai sonuç: SSO kullanan herhangi bir kurulumda kod çalıştırmaya ulaşmak için kimlik doğrulamasız iki GET isteği yeterli.

Bu neden özellikle sizi ilgilendiriyor

Çünkü ikisi de kenarda kalmış araçlar değil. OFBiz, birçok şirketin stok, satın alma ve faturalamayı yönetmek için kullandığı açık kaynaklı bir ERP; Bonita ise dahili onayları ve prosedürleri yürüten bir iş akışı motoru. Bu iki noktaya ulaşan kişi yalnızca veri okumakla kalmaz, operasyon döngünüzün tam ortasında durur: satın alma siparişleri, tedarikçi fiyatları, çalışan kayıtları, müşteri geçmişi. Araştırmacılar, her iki sağlayıcının da standart doksan günlük açıklama süresi içinde düzeltilmiş sürümler yayımladığını bildirdi; yani güncelleme mevcut ve sorumluluk artık sistemi geliştirende değil, sistemi işletende.

Piyasadaki asıl eksiklik yamaların yokluğu değil, envanterin yokluğu. Pek çok kurumun gerçekte neyi, hangi sürümde ve hangi alan adında çalıştırdığına dair güncel bir listesi yok. Böylece eski bir test kopyası unutulmuş bir alt alan adında iki yıl boyunca asılı kalıyor ve kimsenin aklına gelmeyen kapıya dönüşüyor.

Bu hafta ne yapmalı

  • Sistemlerinizin envanterini çıkarın: çalıştırdığınız her sistemin, sürümünün, internete açık olup olmadığının ve sorumlusunun adıyla birlikte yazılı bir listesi.
  • Bonita veya OFBiz kullanıyorsanız onları hemen düzeltilmiş sürümlere güncelleyin ve yükseltmeden önce Apache'nin resmi güvenlik sayfasını okuyun.
  • Ürünle birlikte gelen tüm varsayılan şifreleme veya imzalama anahtarlarını değiştirin. Dokümantasyonda yazılı olan hiçbir değer gizli değildir.
  • Yönetim ağ geçitlerini açık internete kapatın ve onlara özel bir ağ ya da kısa bir izinli adres listesi üzerinden erişin.
  • Eski test kopyalarını ve kullanılmayan alt alan adlarını devreden çıkarın. Bunlar en kolay ve en az izlenen hedeflerdir.
  • Erişim kayıtlarını açın ve saklayın. Kayıtlar olmadan, daha sonra birinin içeri girip girmediği sorusunu yanıtlayamazsınız.

Mühendislik dersi: iç ağ bir güvenlik sınırı değildir

Bu araştırmadan çıkan en önemli öneri, dahili yönlendirmenin internet düzeyindeki kontrollerle ele alınması gerektiğidir. Güvenlik duvarının arkasındaki her şeyin güvenli olduğu yönündeki eski fikir pratikte çöktü: tek bir kimlik doğrulama atlatma açığı her dahili uç noktayı herkese açık bir uç noktaya dönüştürür. Buradan geliştirme standartlarınızda yer alması gereken üç mühendislik kuralı çıkıyor:

Tehlikeli bir işlemi korumak için asla bir engelleme listesine güvenmeyin. Bir kod yolunda ifade değerlendirmesi gerekmiyorsa, onu filtrelemeye çalışmak yerine tamamen kaldırın.

İkinci kural, hassas bir işlemi asla sistemin içinden değiştirilebilen bir ayar bayrağına ya da kullanıcı tercihine bağlamamaktır. Üçüncüsü, kimlik doğrulama filtrelerinin mantığını her türlü alt dize eşleştirmesi açısından denetlemektir, çünkü bu sınıfta en sık tekrarlanan ve en kolay istismar edilen hata budur. Origami'de yeni iş sistemleri geliştirirken bunu varsayılan olarak uyguluyoruz: her uç noktada açık yetkilendirme ve bir isteğin ağdaki konumundan türetilen hiçbir güven yok.

Suudi Arabistan'daki düzenleyici boyut

Ele geçirilen sistem Krallık içindeki bireylerin kişisel verilerini barındırıyorsa, mesele salt teknik olmaktan çıkar. Kişisel Verilerin Korunması Kanunu (PDPL), veri sorumlusunu bu verileri korumak için gerekli önlemleri almakla ve gizliliklerini etkileyen olayları bildirmekle yükümlü kılar. Ulusal Siber Güvenlik Kurumu (NCA), zafiyet yönetimi, yama uygulama ve varlık yönetimini kapsayan temel kontroller yayımlıyor; bunlar tam olarak bu zinciri durduracak kontrollerdir. Bilinen ve zaten yamalanmış bir açığı olan bir ürünün eski sürümünü çalıştırmak, herhangi bir denetimde savunulması zor bir konumdur.

Basit kural: güvenlik güncellemelerini bir olaydan sonra yapılan acil bir iş olarak değil, bir sorumlusu ve tarihi olan aylık bir operasyonel taahhüt olarak görün.

Kaynaklar

  • Help Net Security — kimlik doğrulama öncesi RCE zincirlerinin ve CVE-2026-31986'nın ayrıntıları: helpnetsecurity.com
  • Apache OFBiz resmi güvenlik sayfası: ofbiz.apache.org/security.html
  • Ulusal Siber Güvenlik Kurumu (NCA) — kontroller ve düzenleyici çerçeveler: nca.gov.sa
  • Suudi Veri ve Yapay Zekâ Kurumu (SDAIA) — Kişisel Verilerin Korunması Kanunu: sdaia.gov.sa