V-Ray Swarm'da kimlik doğrulamasız RCE, açık web arayüzü SYSTEM yetkisiyle ele geçirilebiliyor
Chaos'un dağıtık render yöneticisi V-Ray Swarm'ın 2.0.19 ve öncesi sürümlerinde, web arayüzündeki paket yükleme özelliği kimlik doğrulamasız uzaktan kod çalıştırmaya izin veriyor (CVE-2026-104989, CVSS 4.0: 9.3). Açığı Mandiant buldu, düzeltme 2.0.21 sürümünde.
CVE-2026-104989
Mimarlık, görselleştirme ve animasyon stüdyolarında render işlerini ağdaki makinelere dağıtmak için kullanılan Chaos V-Ray Swarm'da kritik bir açık yayımlandı. Mandiant'ın 9 Kasım'da duyurduğu bildirime göre 2.0.19 ve öncesi sürümlerde, web tabanlı paket yönetimi arayüzündeki yükleme özelliği kimlik doğrulaması istemiyor. Yüklenen paket arşivinin içeriği yeterince denetlenmediği için, arşive konan güvenilmeyen bir DLL arka plandaki servis tarafından yükleniyor. Sonuç, NT AUTHORITY\SYSTEM yetkisiyle uzaktan kod çalıştırma ve makinenin tamamen ele geçirilmesi.
Açığa CVE-2026-104989 kimliği verildi; CVSS 4.0 puanı 9.3 (kritik), zayıflık sınıfı CWE-427 (Uncontrolled Search Path Element). İstismar için Swarm web arayüzüne ağ erişimi yetiyor; oturum ya da kullanıcı etkileşimi gerekmiyor. Mandiant, Chaos'a 1 Ekim'de ulaştığını, üreticinin 2 Kasım'da 2.0.21 sürümüyle düzeltmeyi yayımladığını belirtiyor. Şu an için açığın saldırılarda kullanıldığına dair bir bildirim ya da KEV kaydı yok. Render makineleri çoğu zaman yüksek donanımlı ve iç ağda geniş erişimli olduğu için, açık bir arayüz saldırgana ağın içine sağlam bir giriş noktası sağlayabilir.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| Chaos V-Ray Swarm | 2.0.19 ve öncesi | 2.0.21 |
Kaynak: Mandiant MNDT-2026-0043 ve Chaos V-Ray Swarm 2.0.21 sürüm notu.
Beni etkiliyor mu?
V-Ray Swarm, V-Ray kurulumlarıyla birlikte render düğümlerine ve iş istasyonlarına kurulabiliyor; yalnızca "render farm" sunucularına değil, V-Ray kullanılan her Windows makinesine bakmak gerekir.
- Makinede Swarm servisi var mı ve çalışıyor mu (PowerShell, salt okunur):
Get-Service | Where-Object { $_.DisplayName -like "*Swarm*" }- Kurulu sürümü görmek için kaldırma kayıtlarını okuyun:
Get-ItemProperty HKLM:\Software\Microsoft\Windows\CurrentVersion\Uninstall\* | Where-Object { $_.DisplayName -like "*Swarm*" } | Select-Object DisplayName, DisplayVersion- Swarm sürecinin hangi portları dinlediğini kontrol edin:
Get-Process | Where-Object { $_.ProcessName -like "*swarm*" } | Select-Object Id, ProcessName
Get-NetTCPConnection -State Listen | Where-Object { $_.OwningProcess -in (Get-Process | Where-Object { $_.ProcessName -like "*swarm*" }).Id }- Swarm web arayüzünün hangi ağlardan erişilebildiğini güvenlik duvarı kurallarınızdan ve ağ segmentasyonunuzdan doğrulayın. Arayüz internete ya da kullanıcı/misafir ağlarına açıksa risk en yüksek seviyededir.
Ne yapılmalı?
- Tüm V-Ray Swarm kurulumlarını 2.0.21 ya da daha yeni bir sürüme yükseltin. Render düğümlerinin tamamının aynı sürümde olduğundan emin olun; tek bir eski düğüm açığı canlı tutar.
- Yükseltme hemen yapılamıyorsa geçici önlem olarak Swarm web arayüzüne erişimi güvenlik duvarıyla yalnızca render ağına ve yöneticilerin makinelerine sınırlayın; internete açık Swarm arayüzü bırakmayın. Swarm'ın kullanılmadığı makinelerde servisi devre dışı bırakmayı değerlendirin.
- Eski sürümün açık kaldığı süre boyunca Swarm makinelerinde EDR kayıtlarını inceleyin: Swarm sürecinin beklenmedik bir DLL yüklemesi, alt süreç olarak komut satırı ya da PowerShell başlatması ve paket dizinine bilinmeyen arşivlerin düşmesi şüpheli sayılmalıdır.
- Render makineleri genellikle değişiklik takviminin dışında kalır; bu yükseltmeyi change management sürecine planlı bir iş olarak ekleyin ve stüdyo yazılım envanterinize V-Ray Swarm'ı ayrı bir bileşen olarak işleyin.
