IBM Concert'te iki CVSS 9.8 komut çalıştırma açığı: CVE-2026-6715 ve CVE-2026-15266 için 3.1.0 sürümü
IBM, uygulama dayanıklılığı ve risk yönetimi platformu Concert'in 1.0–3.0.1.1 sürümlerinde işletim sistemi komutu çalıştırmaya imkân veren iki kritik açığı bildirdi. Düzeltme Concert Software 3.1.0 sürümünde.
CVE-2026-6715, CVE-2026-15266
IBM, uygulama riskini, sertifikaları ve uyumluluk durumunu tek ekranda toplayan IBM Concert platformundaki iki kritik açığı güvenlik bülteninde duyurdu. İki açığın da CVSS v3.1 puanı 9.8 ve kayıtlar 8 Kasım'da NVD ile GitHub Advisory Database'e düştü.
CVE-2026-6715: Saldırganın sağladığı girdi, yeterli doğrulama yapılmadan bir işletim sistemi komutuna ekleniyor. Başarılı istismar, uzaktaki bir saldırganın etkilenen servisin yetkileriyle alttaki sistemde komut çalıştırmasına imkân veriyor.CVE-2026-15266: Concert'in bazı bileşenleri güvenli olmayan komut çalıştırmaya izin veriyor; bu da host üzerinde rastgele sistem komutu çalıştırılmasına yol açabiliyor.
Bülten, Concert 3.1.0 ile kapatılan çok sayıda üçüncü taraf bileşen açığını da (Go kütüphaneleri, Trivy, LangChain gibi) listeliyor. IBM açıkların saldırılarda kullanıldığına dair bir bilgi vermiyor; açıklar CISA KEV listesinde değil. Ancak Concert, kurumun uygulama envanterine, tarama sonuçlarına ve entegrasyon kimlik bilgilerine erişen bir platform olduğu için ele geçirilmesi geniş bir etki alanı yaratabilir.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| IBM Concert Software | 1.0 – 3.0.1.1 | 3.1.0 |
Sürümler IBM'in güvenlik bülteninden alınmıştır. Bülten, aynı paketle Concert Protect 3.1.0 ve Concert Platform 3.0.3 sürümlerinin de yayımlandığını belirtiyor.
Beni etkiliyor mu?
IBM Concert'i kendi altyapınızda (OpenShift/Kubernetes ya da VM kurulumu) çalıştırıyorsanız ve sürümünüz 3.0.1.1 ya da altındaysa etkileniyorsunuz. Çalışan imaj etiketlerini salt okunur olarak görebilirsiniz:
kubectl get pods -A -o jsonpath='{range .items[*]}{.metadata.namespace}{"\t"}{range .spec.containers[*]}{.image}{"\n"}{end}{end}' | grep -i concertOpenShift'te aynı sorgu oc istemcisiyle de çalışır. Sürüm bilgisi ayrıca Concert arayüzündeki "About" ekranında görünür.
Ne yapılmalı?
- IBM Concert Software'i 3.1.0 sürümüne yükseltin. Paket, IBM Entitled Registry'deki konteyner yazılım kütüphanesinden indiriliyor; kurulum türünüze göre IBM'in kurulum yönergesini izleyin.
- Yükseltme tamamlanana kadar Concert arayüzüne ve API uç noktalarına erişimi yalnızca yönetim ağlarıyla sınırlayın; platformun internete açık olmadığını doğrulayın.
- Concert'e tanımlı entegrasyon hesaplarını (kod deposu, tarayıcı, CMDB, bulut bağlantıları) gözden geçirin; en az yetki ilkesine uymayan hesapları daraltmayı planlayın.
- Concert pod'larının ya da sunucusunun başlattığı beklenmedik süreçleri ve dışarıya giden olağan dışı bağlantıları günlüklerde arayın (
oc logs,kubectl logs). - Aynı bültendeki üçüncü taraf bileşen açıkları için de 3.1.0 yükseltmesi tek adımda çözüm sağlıyor; ayrı bir workaround yayımlanmadı.
