CISA, Microsoft SharePoint'teki kritik uzaktan kod çalıştırma açığının aktif olarak istismar edildiğini duyurdu

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), Microsoft SharePoint sunucularını etkileyen CVE-2026-45659 numaralı kritik güvenlik açığının aktif olarak istismar edildiği uyarısında bulundu. Kurum, açığın saldırganlara yamalanmamış sistemlerde uzaktan kod çalıştırma imkânı sağladığını belirtti.

Microsoft'a göre güvenlik açığı, güvenilmeyen verilerin serileştirilmesinin (deserialization) hatalı şekilde işlenmesinden kaynaklanıyor. Açık, düşük yetkili kimliği doğrulanmış kullanıcıların, kullanıcı etkileşimi gerektirmeyen düşük karmaşıklıktaki saldırılarla SharePoint sunucularında rastgele kod çalıştırmasına olanak tanıyor.

Microsoft, "Bu güvenlik açığı herhangi bir kimliği doğrulanmış saldırgan tarafından tetiklenebilir. Yönetici veya daha yüksek ayrıcalıklar gerektirmez. Ağ üzerinden gerçekleştirilen bir saldırıda, en az Site Member (PR:L) yetkisine sahip kimliği doğrulanmış bir kullanıcı SharePoint Server üzerinde uzaktan kod çalıştırabilir." açıklamasını yaptı.

Şirket ayrıca, "Saldırı vektörü ağ tabanlıdır (AV:N) çünkü güvenlik açığı internet üzerinden uzaktan istismar edilebilir. Saldırı karmaşıklığı düşüktür (AC:L); saldırganın sistem hakkında kapsamlı ön bilgiye sahip olması gerekmez ve aynı yöntemi tekrarlayarak başarılı sonuç alabilir." ifadelerini kullandı.

Güvenlik güncellemesi mayıs ayında yayımlandı

Microsoft, SharePoint Enterprise Server 2016, SharePoint Server 2019 ve SharePoint Server Subscription Edition sürümleri için güvenlik güncellemesini 21 Mayıs tarihinde yayımladı.

Şirket, CVE-2026-45659 kaydının Mayıs 2026 Güvenlik Güncellemeleri listesinde sehven yer almadığını ve daha sonra yayımlanan güvenlik danışma notuyla düzeltildiğini açıkladı.

10 binden fazla SharePoint sunucusu internete açık

İnternet güvenliği izleme kuruluşu Shadowserver Foundation, dünya genelinde internete açık 10 binden fazla Microsoft SharePoint sunucusunu takip ettiğini duyurdu.

Ancak bu sistemlerin kaçının CVE-2026-45659 güvenlik açığına karşı güncellendiğine ilişkin herhangi bir bilgi paylaşılmadı.

Microsoft, Nisan 2026 Patch Tuesday güncellemeleri kapsamında da sıfırıncı gün saldırılarında kullanılan başka bir SharePoint güvenlik açığını gidermişti.

CISA'dan federal kurumlara acil güncelleme çağrısı

CISA, güvenlik açığını Bilinen Aktif Olarak İstismar Edilen Güvenlik Açıkları Kataloğu'na (Known Exploited Vulnerabilities - KEV) ekledi.

Kurum, Bağlayıcı Operasyonel Direktif (BOD) 26-04 kapsamında ABD Federal Sivil Yürütme Kurumu (FCEB) kuruluşlarına cumartesi gününe kadar etkilenen SharePoint sunucularını güvenli hâle getirme talimatı verdi.

Geçen ay yayımlanan BOD 26-04, federal kurumların güvenlik yamalarını önceliklendirirken güvenlik açığının KEV kataloğunda yer alması, büyük ölçekli saldırılar için otomatik olarak istismar edilebilir olması, sistemin internete açık bulunması ve başarılı istismarın saldırgana kısmi veya tam kontrol sağlaması gibi kriterleri dikkate almasını zorunlu kılıyor.

CISA, "Bu tür güvenlik açıkları kötü niyetli siber aktörler tarafından sık kullanılan saldırı yöntemleri arasında yer alıyor ve federal kurumlar açısından önemli risk oluşturuyor." uyarısında bulundu.

Ajans ayrıca, "Bulut hizmetleri için BOD 26-04 rehberine uyulmalı, gerekli önlemler alınamıyorsa ürünün kullanımı sonlandırılmalıdır. Kuruluşlar internet erişimine açık varlıklarını değerlendirmek ve yama yükümlülüklerini yerine getirmekten sorumludur." açıklamasını yaptı.

CISA verilerine göre 2021 yılından bu yana Microsoft SharePoint'i etkileyen 11 güvenlik açığı gerçek saldırılarda kullanıldı. Bunların yedisi fidye yazılımı grupları tarafından da istismar edildi.

Kaynak: Beykozun Sesi