Plesk Site Import eklentisinde kritik açık, sahibi olmayan abonelik kullanıcısı root olarak kod çalıştırabiliyor
Plesk'in Site Import eklentisinin 1.13.2 öncesi sürümlerinde domain ve oturum kimlikleri yeterince doğrulanmıyor (CVE-2026-107246, CVSS 4.0 puanı 9.2). Açık, paylaşımlı hosting sunucularında bir abonelik kullanıcısının root yetkisiyle kod çalıştırmasına yol açabiliyor. Düzeltme 1.13.2 sürümünde.
CVE-2026-107246
Web hosting firmalarının ve kurumların sunucu yönetiminde yaygın olarak kullandığı Plesk panelinin "Site Import" eklentisinde kritik bir açık yayımlandı. WebPros'un HackerOne üzerinden kaydettiği CVE-2026-107246, CVSS 4.0 ile 9.2 puan aldı ve 10 Kasım'da NVD'ye düştü.
Kayda göre eklentinin 1.13.2 öncesi sürümleri, domain ve oturum kimliklerini yeterince doğrulamıyor. Bu durum bir path traversal açığı oluşturuyor. Açıklamaya göre, ilgili aboneliğin sahibi olmayan bir abonelik kullanıcısı, yetkili bir arka uç oturumunu kendi kontrol ettiği bir dizine yönlendirebiliyor. Sonuç, sunucuda root yetkisiyle kod çalıştırma. Kısacası, paylaşımlı bir sunucudaki tek bir hesap tüm sunucunun ele geçirilmesine kapı açabilir. Bu da riski özellikle çok müşterili hosting ortamlarında büyütüyor.
NVD'deki CVSS vektörü "yetki gerekmez" (PR:N) olarak girilmiş, ancak açıklama bir abonelik kullanıcısından söz ediyor. Bu nedenle pratikte saldırganın panelde bir kullanıcı hesabına sahip olması gerekebilir. Açık CISA KEV kataloğunda yok. Şu an için istismar bildirimi de yok.
Site Import eklentisi bu yıl ilk kez gündemde değil. Eylül'de aynı eklentide root yetkisiyle komut çalıştırmaya yol açan CVE-2026-87898 için Kanada Siber Güvenlik Merkezi AV26-961 bültenini yayımlamıştı.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| Plesk "Site Import" eklentisi | 1.13.2 öncesi tüm sürümler | 1.13.2 |
Plesk ana sürümüne göre ayrıntılar için Plesk destek makalesindeki listeye bakın.
Beni etkiliyor mu?
- Sunucunuzda Plesk varsa ve Site Import eklentisi kuruluysa, 1.13.2 öncesi sürümlerde açık sizi etkiliyor.
- Kurulu eklentileri ve sürümlerini salt okunur olarak listeleyebilirsiniz:
plesk bin extension --list. Çıktıdasite-importsatırındaki sürüme bakın. - Plesk sürümünü
plesk versionkomutuyla görebilirsiniz. - Risk en çok, birden fazla müşterinin ya da güvenmediğiniz kullanıcıların abonelik hesabı bulunan paylaşımlı hosting sunucularında yüksek.
Ne yapılmalı?
- Site Import eklentisini Plesk'in eklenti yönetiminden 1.13.2 ya da daha yeni bir sürüme güncelleyin. Otomatik eklenti güncellemeleri açıksa sürümün gerçekten yükseldiğini doğrulayın.
- Eklentiyi kullanmıyorsanız, güncelleyene kadar değişiklik sürecinizle devre dışı bırakmayı ya da kaldırmayı değerlendirin.
- Panelde tanımlı abonelik kullanıcılarını gözden geçirin; tanımadığınız ya da son günlerde eklenmiş hesapları inceleyin.
- Site Import işlemlerine ait kayıtları ve Plesk panel loglarını (
/var/log/plesk/panel.log)grep -i "site-import" /var/log/plesk/panel.loggibi salt okunur komutlarla inceleyin. Beklemediğiniz içe aktarma işlemleri varsa olay müdahalesi başlatın. - Plesk paneline erişimi mümkün olduğunca bilinen IP aralıklarıyla sınırlayın.
