N-able N-central'da yedi güvenlik açığı 10 Kasım'da yayımlanan Hotfix 2 ile kapatıldı; ardından yeni istismar iddiaları gündeme geldi. Doğrulanmış bir müşteri ihlali bildirilmedi, ancak uzaktan yönetim araçlarının yetki düzeyi yeniden tartışmaya açıldı.
Kurumsal BT dünyasında kasım ayının en çok konuşulan konusu, uzaktan yönetim yazılımı N-able N-central oldu. Binlerce yönetilen hizmet sağlayıcısının (MSP) müşteri bilgisayarlarını ve sunucularını uzaktan yönetmek için kullandığı bu platformda, 10 Kasım 2026'da yayımlanan Hotfix 2 güncellemesiyle yedi ayrı güvenlik açığı kapatıldı. Tenable'ın derlediği listeye göre açıkların en yükseği CVSSv4 ölçeğinde 9,3 puanla değerlendirildi.
Hikâye burada bitmedi. 12 Kasım'da bir güvenlik araştırmacısı, güncellenmiş sunucularda da çalıştığını öne sürdüğü yeni istismar zincirlerini kamuya açık olarak yayımladı. BleepingComputer'ın aktardığına göre saldırganlar, kavram kanıtı kodun yayımlanmasından saatler sonra internete açık sistemleri taramaya başladı. N-able konuyu incelediğini duyurdu ve müşterilerine, varsayılan olarak kapalı gelen Legacy API özelliğinin açık olup olmadığını kontrol etmelerini, açıksa derhal kapatmalarını önerdi.
Panik değil, yapı sorunu
Şu ana kadar doğrulanmış bir müşteri ihlali bildirilmedi; Beazley, Huntress ve N-able gerçek ortamlarda başarılı bir istismar görmediklerini açıkladı. Araştırmacının güncellenmiş sunucularla ilgili iddiaları da bağımsız olarak teyit edilmiş değil. Dolayısıyla buradaki haber bir felaket tablosu değil, bir yapı sorunu.
Uzaktan yönetim ve uzaktan destek araçları, tasarımı gereği ağdaki en yetkili yazılımlardır: tüm uç noktalara kurulur, yönetici haklarıyla çalışır ve komut çalıştırabilir. Bu yüzden saldırganlar için tek tek bilgisayarları denemekten çok daha verimli bir hedeftir. Bir tanesinin ele geçirilmesi, o platforma bağlı bütün müşteri ağlarına açılan bir kapı anlamına gelebilir. Aynı mantık geçen yıllarda başka uzaktan yönetim ve yedekleme ürünlerinde de karşımıza çıktı.
Bu olay, yama yönetiminin artık yalnızca kendi sunucularınızla ilgili olmadığını da gösteriyor. Tedarikçinizin kullandığı araçlar da sizin saldırı yüzeyinizin bir parçası ve bu araçlardaki bir açık, sizin hiçbir şey yapmadığınız bir günde ağınıza ulaşabilir.
Türkiye'deki KOBİ'ler için anlamı
Türkiye'de KOBİ'lerin büyük bölümü BT'yi dışarıdan alıyor ve bu normaldir. Ancak çoğu firma, kendi bilgisayarlarında hangi uzaktan destek yazılımının kurulu olduğunu, bu yazılıma kimlerin erişebildiğini ve bağlantıların kayıt altına alınıp alınmadığını bilmiyor. Bu bilgi, hizmet sağlayıcınıza duyduğunuz güvenin değil, sözleşmenizin bir parçası olmalı.
Mesele yalnızca tek bir üründe değil. Önemli olan şu soru: tedarikçinizin sisteminde çıkacak bir açık, sizin ağınıza ne kadar hızlı yansır ve siz bundan nasıl haberdar olursunuz? KVKK açısından da sorumluluk, işleme faaliyetini yürüten veri sorumlusunda kalmaya devam eder; "tedarikçide oldu" demek yükümlülüğü ortadan kaldırmaz.
Kamer Bilişim olarak ne öneriyoruz?
- Uzaktan erişim envanterinizi isteyin. Bilgisayarlarınızda hangi uzaktan yönetim veya destek ajanının kurulu olduğunu, hangi sürümde çalıştığını ve kimlerin bağlanabildiğini yazılı olarak talep edin. Kullanılmayan eski ajanları kaldırın.
- Yönetim panellerini internete kapatın, erişimi MFA ile koruyun. Yönetim arayüzleri ve eski/uyumluluk amaçlı API'ler ihtiyaç yoksa kapalı kalmalı; gerekiyorsa VPN arkasına alınmalı ve tüm yönetici hesaplarında iki adımlı doğrulama zorunlu olmalı.
- Bağlantı kaydı ve bildirim şartını sözleşmeye yazın. Her uzaktan bağlantının kim, ne zaman, ne kadar süre sorusuna cevap veren bir kaydı olmalı; tedarikçinizde bir güvenlik olayı yaşandığında size ne kadar sürede haber verileceği de baştan belirlenmeli.
Kendi ortamınızda hangi uzaktan erişim araçlarının çalıştığını ve bunların nasıl yapılandırıldığını birlikte gözden geçirmek isterseniz, İletişim sayfasından bize ulaşabilirsiniz.
Kaynak: BleepingComputer, The Hacker News, Tenable
Kaynak: BleepingComputer