Tenable Identity Exposure'da CVSS 9.9 komut enjeksiyonu: PDCe üzerinde SYSTEM yetkisi riski
Tenable, Identity Exposure'ın Active Directory Events Listener bileşenindeki CVE-2026-119314 açığını 3.93.6 ve 3.77.18 sürümleriyle kapattı. Düşük yetkili bir kullanıcı, PDC Emulator üzerinde SYSTEM olarak komut çalıştırabiliyor.
CVE-2026-119314, CVE-2026-119315, CVE-2026-119316
Tenable, Active Directory güvenlik ürünü Tenable Identity Exposure'da üç açığı kapatan TNS-2026-34 bildirimini 30 Ekim'de yayımladı. En ağırı CVE-2026-119314 (CVSS v3.1 9.9, CVSS v4 9.4). Bu açık, Active Directory Events Listener bileşenindeki bir işletim sistemi komut enjeksiyonu (CWE-78). Kimliği doğrulanmış, düşük yetkili bir saldırgan PDC Emulator (PDCe) rolündeki etki alanı denetleyicisinde SYSTEM yetkisiyle komut çalıştırabiliyor. Fransa'nın CERT-FR ekibi de 2 Kasım'da CERTFR-2026-AVI-1436 kodlu bir uyarı yayımladı.
Bildirimde açığın saldırılarda kullanıldığına dair bir bilgi yok ve açık CISA KEV listesinde değil. Ancak etkilenen sunucu doğrudan bir etki alanı denetleyicisi. Bu yüzden açık, etki alanının tamamının ele geçirilmesine kadar uzanabilecek bir risk taşıyor. Aynı bildirim iki orta seviyeli açığı da kapatıyor: GraphQL API'de hizmet dışı bırakma (CVE-2026-119315) ve Secure Relay kurulumu başarısız olduğunda bağlantı anahtarının yerel hata günlüğüne yazılması (CVE-2026-119316).
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| Tenable Identity Exposure (3.93 hattı) | 3.93.5 ve öncesi | 3.93.6 |
| Tenable Identity Exposure (3.77 hattı) | 3.77.17 ve öncesi | 3.77.18 |
Sürümler Tenable'ın TNS-2026-34 bildiriminden alınmıştır.
Beni etkiliyor mu?
Tenable Identity Exposure'ı şirket içi (on-premises) çalıştırıyorsanız ürün arayüzündeki sürüm bilgisine bakın; tablodaki düzeltilmiş sürümün altındaysanız etkileniyorsunuz. PDCe rolünün hangi sunucuda olduğunu salt okunur bir komutla görebilirsiniz:
Get-ADDomain | Select-Object PDCEmulatorEvents Listener bileşeninin bu sunucuda çalışıp çalışmadığını ve kurulu sürümünü Windows'ta Ayarlar › Uygulamalar ya da Programlar ve Özellikler listesinden kontrol edebilirsiniz.
Ne yapılmalı?
- Tenable Identity Exposure'ı 3.93.6 ya da 3.77.18 sürümüne yükseltin; Events Listener bileşeninin de güncellendiğini doğrulayın.
- Güncelleme yapılana kadar ürüne erişebilen hesap sayısını en aza indirin ve düşük yetkili kullanıcıların erişimini gözden geçirin.
- PDCe üzerinde beklenmeyen süreç başlatmalarını ve SYSTEM bağlamında çalışan olağan dışı komutları EDR ve Windows olay günlükleriyle izleyin.
CVE-2026-119316nedeniyle, Secure Relay kurulumu başarısız olan sistemlerde hata günlüklerine erişimi kısıtlayın. Tenable'ın yönlendirmesine göre bağlantı anahtarının yenilenmesini değerlendirin.- Etki alanı denetleyicisinde yapılacak güncellemeyi change management sürecinde bakım penceresine planlayın.
