Axis Camera Station ve Camera Station Pro'da CVSS 9,9 kritik açık, sistemin ele geçirilmesine yol açabiliyor
Axis, video yönetim yazılımı AXIS Camera Station Pro'nun 6.17 öncesi ve AXIS Camera Station'ın 5.59 SR 2 öncesi sürümlerinde kritik bir açığı kapattı (CVE-2026-13312, CVSS 9,9). Üretici ayrıntı vermiyor; açık bilinen bir exploit ya da istismar bildirimi olmadan, bug bounty programı üzerinden bildirildi. Düzeltme Camera Station Pro 6.17 ve Camera Station 5.59 SR 2 sürümlerinde.
CVE-2026-13312
Kamera ve video gözetim altyapısında yaygın kullanılan Axis Communications, video yönetim yazılımı (VMS) AXIS Camera Station'da kritik bir açık için güvenlik bildirimi yayımladı. 10 Kasım tarihli bildirimdeki CVE-2026-13312, CVSS 3.1 ile 9,9 puan aldı. Açık hem güncel ürün olan AXIS Camera Station Pro'yu hem de önceki nesil AXIS Camera Station 5'i etkiliyor.
Axis, açığı yalnızca "sistemin ele geçirilmesine yol açabilecek bir zafiyet" olarak tanımlıyor ve daha fazla teknik ayrıntı vermeyeceğini belirtiyor. Atanan zayıflık sınıfı CWE-1287, yani girdinin beklenen türünün yeterince doğrulanmaması. NVD'deki vektör (AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H), açığın ağ üzerinden, düşük yetkili bir hesapla ve kullanıcı etkileşimi olmadan tetiklenebileceğine işaret ediyor. Kapsam değişimi (S:C) etkinin yazılımın kendisinin ötesine geçebileceği anlamına geliyor. Kısacası, Camera Station'a düşük yetkili de olsa erişimi olan biri, bu sunucuyu ve bağlı olduğu sistemleri tehlikeye atabilir.
Açık, AXIS Camera Station Pro bug bounty programına katılan bir araştırmacı tarafından bildirildi. Axis'e göre bugün itibarıyla kamuya açık bir exploit yok ve açığın istismar edildiğine dair bilgi yok. Açık CISA KEV kataloğunda da yer almıyor.
VMS sunucuları kameralara, kayıt arşivlerine ve çoğu zaman kurumun Active Directory'sine bağlı çalışır. Bu nedenle ele geçirilmeleri hem fiziksel güvenlik kayıtlarını hem de iç ağı riske sokar. Axis ayrıntı vermediği için açığın hangi bileşende olduğu bilinmiyor; bu da güncellemeyi geciktirmemek için ek bir neden.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| AXIS Camera Station Pro | 6.17 öncesi sürümler | 6.17 |
| AXIS Camera Station (5. nesil) | 5.59 SR 2 öncesi sürümler | 5.59 SR 2 |
Beni etkiliyor mu?
- Kurumunuzda kamera kayıtlarını AXIS Camera Station ya da AXIS Camera Station Pro ile yönetiyorsanız ve sürümünüz tablodaki düzeltilmiş sürümün altındaysa açık sizi etkiliyor.
- Windows sunucusunda kurulu sürümü salt okunur olarak görebilirsiniz:
Get-ItemProperty HKLM:\Software\Microsoft\Windows\CurrentVersion\Uninstall\* | Where-Object DisplayName -like "*Camera Station*" | Select-Object DisplayName, DisplayVersion - Sürüm bilgisi Camera Station istemcisinde "Help > About" menüsünde de yer alır.
- Risk, Camera Station sunucusuna çok sayıda operatör ya da düşük yetkili kullanıcı hesabının bağlandığı, sunucunun kurum ağının geniş bir kısmından erişilebildiği ortamlarda daha yüksek.
Ne yapılmalı?
- AXIS Camera Station Pro'yu 6.17 sürümüne, AXIS Camera Station 5'i 5.59 SR 2 sürümüne güncelleyin. Güncellemeyi değişiklik sürecinizle, kayıt kesintisini planlayarak yapın.
- Güncelleme sonrası sürümü yukarıdaki salt okunur komutla ya da "Help > About" ekranından doğrulayın.
- Camera Station'da tanımlı kullanıcı ve operatör hesaplarını gözden geçirin; kullanılmayan ya da tanımadığınız hesapları kapatma kararını değişiklik sürecinizle verin.
- Güncelleyene kadar Camera Station sunucusuna erişimi yalnızca operatör ağlarıyla sınırlamayı ve sunucunun internetten erişilebilir olmadığını doğrulamayı değerlendirin.
- Sunucudaki Windows olay günlüklerini (
Get-WinEvent -LogName Security -MaxEvents 200gibi salt okunur komutlarla) ve Camera Station kayıtlarını beklenmeyen oturum açma ve yetki değişikliği için inceleyin. Şüpheli bir iz görürseniz olay müdahalesi başlatın.
