MarkLogic Sunucularında Kritik Zafiyetler: Yetkili Yöneticiler Risk Altında

Progress Software‘ın kurumsal veritabanı çözümü MarkLogic Server’da ortaya çıkan yeni güvenlik zafiyetleri, siber güvenlik dünyasında dikkatleri üzerine çekiyor. Yakın zamanda açıklanan 31 farklı güvenlik açığı arasında, özellikle iki tanesi delegasyon yetkisine sahip yöneticilerin sunucu üzerinde kalıcı yönetici kontrolü elde etmesine imkan tanıma potansiyeli taşıyor. Bu kritik MarkLogic güvenlik açıkları, sistem bütünlüğü ve veri gizliliği açısından ciddi endişelere yol açarken, Progress Software acil yamaları kullanıcılarına sundu.

MarkLogic Zafiyetlerinin Kapsamı ve Acil Durumun Arka Planı

Progress Software, MarkLogic Server veritabanında tespit edilen toplam 31 yeni güvenlik zafiyetini kamuoyuyla paylaştı. Bu zafiyetlerden beşi, genel risk değerlendirmesinde ‘kritik’ seviyede sınıflandırıldı ve en yüksek CVSS puanlarını aldı. Özellikle, bu kritik açıkların en tehlikelileri, zaten sınırlı yönetim ayrıcalıklarına sahip bir hesabın, sunucu üzerinde tam yönetici kontrolünü ele geçirmesine izin veriyor. Bu durum, yetki yükseltme saldırılarının potansiyelini artırarak kurumsal ağlar için ciddi bir tehdit oluşturuyor ve hassas verilere yetkisiz erişim kapısını aralayabilir.

Yamalar, 10 Eylül tarihinden itibaren MarkLogic 11.3.7 ve MarkLogic 12.1.0 sürümlerinde mevcut hale geldi. Ancak, daha önce Ağustos ayında açıklanan 10 MarkLogic zafiyeti için yayınlanan 11.3.6 ve 12.0.3 sürümlerinin bu yeni açıkları kapsamadığı belirtiliyor. Bu detay, güncel yamaların ne denli kritik olduğunu ve önceki güncellemelerin bu yeni tehditlere karşı yetersiz kaldığını açıkça ortaya koyuyor. MarkLogic 11.3 sürümü uzun süreli destek (LTS) hattı olarak konumlanırken, 12 serisi yenilikçi bir sürüm olarak tanımlanıyor ve doğrudan 12.1.0 sürümüne yükseltme gerektiriyor; bu serinin yamalanmış bir 12.0 sürümü bulunmuyor.

Kritik Zafiyetlerin Teknik Analizi ve Potansiyel Tehditler

Progress tarafından kritik olarak değerlendirilen beş zafiyetten üçü, sektör standardı CVSS ölçeğinde 10 üzerinden 9.9 gibi son derece yüksek bir puan aldı. Diğer iki zafiyet ise 9.6 puanla yine yüksek risk kategorisinde yer alıyor. Bu zafiyetlerin her biri için, saldırganın sistemi tehlikeye atabilmesi adına sunucuda halihazırda belirli bir ayrıcalığa veya kod çalıştırma yeteneğine sahip olması gerekiyor. Zafiyetlerden ikisi, MarkLogic ekosistemindeki ‘ormanlar’ kavramıyla doğrudan bir bağlantı içeriyor. MarkLogic mimarisinde bir orman, bir veritabanına eklenmiş belgelerden oluşan bir koleksiyonu ifade eder.

CVE-2026-85947 (CVSS: 9.9) koduyla tanımlanan zafiyet, orman yönetimi ayrıcalıklarına sahip bir saldırganın kalıcı bir yönetici hesabı oluşturmasına imkan tanır. Bu, potansiyel olarak tüm sunucu üzerinde tam yönetim kontrolünü ele geçirme riskini barındırır. Bir diğer yüksek riskli zafiyet olan CVE-2026-85948 (CVSS: 9.9), kullanıcı düzeyinde yönetici ayrıcalıkları olan bir saldırganın, kullanımdan kaldırılmış bir Yönetim API yolu üzerindeki bir XQuery enjeksiyon zafiyetini kullanarak kalıcı yönetici kontrolü elde etmesini mümkün kılar. Bu tür enjeksiyon zafiyetleri, genellikle yetkisiz komutların yürütülmesine ve sistemin güvenliğinin aşılmasına neden olur.

CVE-2026-85955 (CVSS: 9.9), sorgu yürütme erişimi ve xdmp-eval-in ayrıcalığına sahip bir saldırganın, sunucu tarafında yükseltilmiş izinlerle kod çalıştırmasına olanak tanır. Bu da veri manipülasyonu veya ek kötü amaçlı yazılım yüklemeleri gibi ciddi sonuçlar doğurabilir. CVE-2026-85956 (CVSS: 9.6) ise yetkilendirilmiş veritabanı yönetici ayrıcalıklarına sahip bir saldırganın, kendi veritabanı dışındaki ormanları yedeklemesine veya geri yüklemesine olanak tanır. Bu durum, Progress’in ‘güvenlik açısından kritik veriler’ olarak tanımladığı bilgilere yetkisiz erişim veya bu verilerde değişiklik yapılmasına yol açabilir. Son olarak, CVE-2026-9191 (CVSS: 9.6) belirli REST ve XDBC değerlendirme yolları aracılığıyla kod çalıştırma yeteneğine sahip bir saldırganın, yetkisiz eylemler gerçekleştirmesine veya kimliği doğrulanmış bir oturumu tehlikeye atmasına izin verir. Bu zafiyetler, bir araya geldiğinde veya tek başlarına kullanıldığında, kurumsal veritabanı sistemleri için yıkıcı sonuçlar doğurma potansiyeli taşır.

Kuruluşlar İçin Acil Eylem ve Güncelleme Stratejileri

MarkLogic kullanıcıları için en kritik ve acil eylem, sistemlerini Progress Software tarafından belirtilen yamalı sürümlere yükseltmektir. Etkilenen sürümler arasında MarkLogic 11.x (11.3.7 öncesi) ve MarkLogic 12.x (12.1.0 öncesi) yer alıyor. Progress’in yükseltme notlarında belirtildiği üzere, artık ‘forest-scoped administrative grant’ yetkisinin bir ormanı kullanıcının seçtiği bir veritabanına doğrudan eklemek için yeterli olmadığı vurgulanıyor. Bu değişiklik, yetkilendirme mekanizmalarında yapılan önemli bir revizyonu işaret ediyor ve daha sıkı bir güvenlik politikası benimsenmesi gerektiğini gösteriyor.

Yükseltme işleminden önce, kuruluşların yetkilendirilmiş orman ve veritabanı ayrıcalık atamalarını titizlikle gözden geçirmeleri büyük önem taşıyor. Ayrıca, xdmp-eval-in ayrıcalığını barındıran rolleri denetlemek, potansiyel güvenlik açıklarını kapatma ve yetkisiz erişim riskini minimize etme noktasında kritik bir adım olarak öne çıkıyor. Şirket, şu an için yükseltme yapamayan müşteriler için herhangi bir geçici çözüm sunmadığını belirtti. Bu durum, güncellemenin ertelenmesinin ciddi güvenlik riskleri taşıdığı anlamına gelmekle beraber, kurumları bir an önce harekete geçmeye zorluyor. Mevcut verilere göre, söz konusu 31 zafiyetin herhangi bir saldırıda kullanıldığına dair bir kanıt bulunmuyor; ancak bu durum, gelecekte bu zafiyetlerin kötü niyetli aktörler tarafından kullanılmayacağı garantisini vermiyor.

MarkLogic Zafiyetlerinin Siber Güvenlik Ekosistemine Etkileri

Bu tür kritik veritabanı zafiyetleri, modern siber güvenlik stratejilerinin sürekli olarak evrilmesi ve proaktif önlemler alınması gerektiğini bir kez daha ortaya koyuyor. Kurumsal veritabanları, şirketlerin en değerli ve hassas bilgilerini barındırdığı için, bu sistemlerdeki en küçük bir açığın bile yıkıcı sonuçları olabilir. Özellikle kalıcı yönetici kontrolü sağlama potansiyeli taşıyan zafiyetler, kötü niyetli aktörlerin sistemlere derinlemesine nüfuz etmesine ve uzun vadeli, tespit edilmesi zor veri ihlalleri gerçekleştirmesine zemin hazırlayabilir. Bu durum, sadece anlık bir tehdit olmanın ötesinde, sürekli bir izleme, güvenlik denetimi ve tehdit istihbaratı entegrasyonu gerekliliğinin altını çiziyor.

Bugcrowd platformu aracılığıyla rexnets ve WaltWhitehat gibi bağımsız güvenlik araştırmacıları tarafından rapor edilen dört kritik zafiyetin varlığı, dış güvenlik topluluğunun kritik rolünü de gözler önüne seriyor. Bu tür işbirlikleri, yazılım güvenliğinin sürekli iyileştirilmesi ve henüz keşfedilmemiş zafiyetlerin ortaya çıkarılması için vazgeçilmez bir unsurdur. Kurumların, tedarik zinciri güvenliğini ve kullandıkları üçüncü taraf yazılım bileşenlerinin zafiyetlerini proaktif bir şekilde yönetmesi, gelişen tehdit ortamında hayati önem taşımaktadır. MarkLogic örneğinde olduğu gibi, kritik altyapı yazılımlarındaki bu tür açıklar, geniş bir yelpazedeki sektörleri etkileyerek küresel siber güvenlik risk profilini yükseltme potansiyeli taşımaktadır.