Azul Payara'da iki kimliksiz yönetici erişimi açığı: JMX'te CVE-2026-90908, REST yönetim arayüzünde CVE-2026-110003
Payara Server ve Payara Micro'daki iki açık, kimlik doğrulaması olmayan uzak bir saldırganın yönetim kısıtlarını aşmasına ve sunucuyu tamamen ele geçirmesine yol açabiliyor. Düzeltmeler Community 7.2026.11 ile Enterprise 7.6.0, 6.44.0, 5.93.0 ve 4.1.2.191.61 sürüm notlarında yer alıyor.
CVE-2026-90908, CVE-2026-110003
Java uygulama sunucusu Payara'nın (Azul Payara Server ve Payara Micro) iki kritik açığı 12 Kasım'da NVD ve GitHub Advisory Database'e girdi. İkisi de kimlik doğrulaması olmayan, uzaktaki bir saldırganın yönetim katmanına erişmesine izin veriyor. CVE-2026-90908, GenericAdminAuthenticator bileşeninde. Saldırgan istemci adresini sahteleyerek JMX/RMI yönetim erişimi kısıtlarını aşabiliyor, MBean sunucusunda yönetici yetkisi alabiliyor ve bu yolla kod çalıştırabiliyor. Payara Micro yalnızca JMX connector'ı etkinse etkileniyor.
CVE-2026-110003 ise REST yönetim arayüzünde. Belirli bir HTTP başlığının yalnızca varlığı, token doğrulanmadan önce uzak erişim reddini devre dışı bırakıyor. Geçersiz token parola doğrulamasına düşüyor; yönetici parolası boş bırakılmış varsayılan domain'lerde bu adım da kimlik bilgisi olmadan geçiliyor. Sonuç yönetim komutlarının çalıştırılması, yani sunucunun tamamen ele geçirilmesi. Şu ana kadar istismar raporu yok, iki açık da CISA KEV kataloğunda değil. Masa bu açığı 12 Kasım sabahından beri aday listesinde izliyordu; GHSA kayıtları düzeltme içeren sürüm notlarını gösterince haber oldu.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| Azul Payara Community (Server, Micro) | Üretici bildirimindeki liste | 7.2026.11 |
| Azul Payara Enterprise 7 | Üretici bildirimindeki liste | 7.6.0 |
| Azul Payara Enterprise 6 | Üretici bildirimindeki liste | 6.44.0 |
| Azul Payara Enterprise 5 | Üretici bildirimindeki liste | 5.93.0 |
| Azul Payara Enterprise 4 | Üretici bildirimindeki liste | 4.1.2.191.61 |
Düzeltilmiş sürümler, GHSA kayıtlarının düzeltme için işaret ettiği Azul sürüm notlarından alındı. 7.2026.11 ve 7.6.0 notlarında "Remote Code Execution in JMX" (FISH-14190) güvenlik düzeltmesi olarak yer alıyor. İlk etkilenen sürüm kayıtlarda belirtilmiyor; kesin aralık için Azul Payara güvenlik bildirimleri sayfasına bakın.
Beni etkiliyor mu?
Üç soru belirleyici: sürümünüz düzeltme öncesi mi, yönetim arayüzleri (admin port, JMX/RMI) dışarıdan erişilebilir mi, ve admin parolası boş mu? Sunucuda şu salt okunur komutlar kullanılabilir:
cat <payara-dizini>/glassfish/domains/<domain>/config/domain.xml | grep -i -E "jmx-connector|secure-admin|admin-listener"Kurulu sürüm yönetim konsolunun başlığında ve sunucu loglarının açılış satırlarında görünür. domain.xml içindeki jmx-connector tanımı JMX'in açık olup olmadığını, secure-admin satırı uzak yönetimin etkin olup olmadığını gösterir. Payara Micro kullanıyorsanız başlatma parametrelerinde JMX connector'ın açılıp açılmadığına bakın. Konteyner imajı kullanıyorsanız imaj etiketindeki sürümü kontrol edin.
Ne yapılmalı?
- Community kullanıcıları 7.2026.11'e, Enterprise kullanıcıları kendi dallarındaki düzeltilmiş sürüme (7.6.0, 6.44.0, 5.93.0, 4.1.2.191.61) yükseltsin. Konteyner imajlarını yeni sürümle yeniden oluşturun.
- Upgrade'e kadar admin portunu (varsayılan 4848) ve JMX/RMI portlarını internete ve kullanıcı ağlarına kapatın; erişimi yalnızca yönetim ağına bırakın. İhtiyaç yoksa JMX connector'ı kapalı tutun.
- Hiçbir domain'de yönetici parolası boş bırakılmasın. Varsayılan kurulumla açılmış domain'leri envanterden bulun ve güçlü parola atanmasını change planına alın.
- Yönetim arayüzü loglarında beklenmedik uzak adreslerden gelen istekleri ve tanımadığınız uygulama deploy'larını gözden geçirin.
