Adobe Campaign Classic'te azami puanlı (CVSS 10.0) kritik güvenlik açığı kapatıldı
Adobe, pazarlama otomasyon aracı Campaign Classic'in yalnızca kurum-içi (on-premise) sürümlerini etkileyen, kullanıcı etkileşimi gerektirmeden keyfi kod çalıştırmaya izin veren azami CVSS puanlı (10.0) bir açığı kapattı. Aynı güncellemede SQL enjeksiyonu kaynaklı yüksek önemli ikinci bir açık daha giderildi. Adobe, açıkların şu ana kadar istismar edildiğine dair bir bulgu olmadığını belirtti.
Adobe, pazarlama otomasyon platformu Campaign Classic’te azami önem derecesine (CVSS 10.0) sahip bir güvenlik açığını kapatan bir güvenlik güncellemesi yayınladı.
Açığın niteliği
CVE-2026-48449 olarak izlenen açık, yanlış yetkilendirme (incorrect authorization) kaynaklanıyor ve saldırganın herhangi bir kullanıcı etkileşimi olmadan, mevcut kullanıcı bağlamında keyfi kod çalıştırmasına izin veriyor. Açık, hem Windows hem Linux üzerinde çalışan, build 9397 ve öncesindeki kurulumları etkiliyor.
İkinci bir açık daha kapatıldı
Aynı güncelleme paketinde, SQL enjeksiyonu yoluyla keyfi dosya okumaya yol açabilecek yüksek önemli bir açık (CVE-2026-48448, CVSS 8.6) de giderildi.
Kim etkileniyor, kim etkilenmiyor
Düzeltme 29 Temmuz’da build 9398 ile (APSB26-114 bülteni altında) yayınlandı. Açık yalnızca kurum-içi (on-premise) Campaign Classic kurulumlarını ilgilendiriyor — Adobe’nin kendi bulutunda barındırdığı örnekler tedarikçi tarafında zaten güncellenmiş durumda ve son kullanıcının ek bir adım atmasına gerek yok. Adobe, açıkların şu ana kadar vahşi doğada istismar edildiğine dair bir kanıt bulunmadığını açıkladı.
Yalnızca kurum-içi sunucularda barındırılan kurulumlar risk altında — bulut/SaaS olarak barındırılan sürümler tedarikçi tarafında zaten güncellendiği için son kullanıcının ek bir işlem yapmasına gerek kalmıyor. Bu ayrım, kurumların hangi yazılımı kendi sunucusunda mı yoksa tedarikçi bulutunda mı çalıştırdığını bilmesinin neden önemli olduğunu gösteriyor.
- The Hacker News — Adobe Campaign Classic CVSS 10.0 Flaw Could Run Code Without User Interaction · 2026-08-01
- Tenable — CVE-2026-48449 · 2026-08-01
Bu haber ozgun ozet olarak hazirlanmistir; telif hakki ilgili kaynaklara aittir. Tam metin icin kaynak baglantilarini ziyaret edin.
Ilgili Haberler
'Kriptografik Bağlam Enjeksiyonu' — Grok, şifrelenmiş talimatlarla kandırılıp kullanıcı verisini sızdırdı
Güvenlik firması Adversa, xAI'nin Grok modelini basit ama etkili bir teknikle kandırdı: zararlı talimatı düz metin yerine şifreleyip sayfaya gömdü, çözme anahtarını da yanına ekledi. Modelin statik güvenlik filtresi düz metin talimatı reddederken şifreli metni 'anlamsız' sayıp geçirdi; model kendi kod-çalıştırma ortamında şifreyi çözünce filtre bir daha devreye girmedi ve kullanıcı verisi saldırganın sunucusuna sızdı. Aynı teknik Gemini'de de jailbreak için kullanıldı.
AI kodlama ajanları sahte kurulum talimatlarını izleyip kurumsal ağlara sahipsiz kod bulaştırdı
İsrailli bir güvenlik araştırma ekibi, 6.214 kurumsal web sitesini taradı ve 120 sitede kayıtsız paket veya alan adlarına işaret eden 227 sahte kurulum komutu buldu. Araştırmacılar bu boş isim alanlarını kendileri kayıt ettirip tuzak kurunca, aralarında büyük şirketlerin de bulunduğu düzinelerce kurumdan sinyal aldı; sahte talimatları sorgusuzca çalıştıran ajanların önde gelen üç AI kodlama asistanı olduğu tespit edildi.
ShinyHunters, ilaç dağıtım devi McKesson'dan milyonlarca hasta kaydı çaldığını iddia etti
ABD'nin en büyük ilaç ve tıbbi malzeme dağıtıcılarından McKesson, çalışanlarının oltalama ve sosyal mühendislikle kandırılarak bulut hesaplarına sızıldığını doğruladı. ShinyHunters hacker grubu isim, adres, sosyal güvenlik numarası, teşhis ve ilaç bilgisi dahil milyonlarca satır veri çaldığını iddia edip fidye talep etti. Haber, McKesson'ı son aylarda aynı grup tarafından hedef alınan sağlık şirketleri zincirine ekliyor.