ManageEngine ServiceDesk Plus ailesinde Reports modülü açığı CVE-2026-12507 ve M365 Manager Plus'ta CVE-2026-12591 kamuya açıklandı
ServiceDesk Plus, ServiceDesk Plus MSP, AssetExplorer ve SupportCenter Plus'ın Reports modülündeki açık, sorgu raporu yetkisi olan bir kullanıcının sunucuda komut çalıştırmasına izin veriyor. M365 Manager Plus'taki CVSS 9.9'luk açık ise teknisyen hesabından yetki yükseltmeye ve kod çalıştırmaya yol açabiliyor. Düzeltmeler Haziran'da yayımlanmıştı; CVE kayıtları bugün NVD'ye girdi.
CVE-2026-12507, CVE-2026-12591
Zoho'nun kurumsal BT yönetimi markası ManageEngine'in iki ürün ailesindeki kod çalıştırma açıkları 12 Kasım'da NVD ve GitHub Advisory Database'e girdi. Daha geniş etkili olanı CVE-2026-12507. ServiceDesk Plus, ServiceDesk Plus MSP, AssetExplorer ve SupportCenter Plus'ın ortak Reports modülünde bulunuyor. Üretici bildirimine göre "Create Query Reports" yetkisine sahip, oturum açmış bir kullanıcı Jasper ifadeleri içeren özel hazırlanmış sorgularla sunucuda komut çalıştırabiliyor. NVD kaydındaki CVSS puanı 9.1; ManageEngine kendi bildiriminde önemi "High" olarak veriyor.
İkinci açık CVE-2026-12591, Microsoft 365 yönetim ve raporlama aracı M365 Manager Plus'ta. CVSS puanı 9.9. Delegated administration arayüzündeki eksik yetki denetimi, kimliği doğrulanmış bir teknisyenin kendi kapsamının dışına çıkıp yönetimsel işlemler sırasında kod çalıştırmasına yol açabiliyor. İki açığın düzeltmesi de Haziran 2026'da yayımlanmıştı; CVE kayıtları ise bugün kamuya açıldı. İstismar raporu yok, CISA KEV kataloğunda değiller. Yine de ServiceDesk Plus Türkiye'de yaygın bir ITSM ürünü ve Haziran'dan bu yana service pack almamış kurulumlar açık durumda.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| ServiceDesk Plus | Build 15280 ve öncesi | Build 15290 (19 Haziran 2026) |
| ServiceDesk Plus MSP | Build 15140 ve öncesi | Build 15150 (22 Haziran 2026) |
| AssetExplorer | Build 7850 ve öncesi | Build 7860 (19 Haziran 2026) |
| SupportCenter Plus | Build 15140 ve öncesi | Build 15150 (22 Haziran 2026) |
| M365 Manager Plus | Build 4817 ve öncesi | Build 4818 (24 Haziran 2026) |
Sürümler ManageEngine'in iki güvenlik bildiriminden alındı.
Beni etkiliyor mu?
Build numarası web arayüzünde görünür: ServiceDesk Plus ailesinde sağ üstteki profil menüsünden ya da yardım menüsündeki "About" ekranından, M365 Manager Plus'ta da yardım menüsündeki "About" ekranından bakılır. Hangi sunucuda kurulu olduğunu bulmak için Windows sunucuda şu salt okunur komutlar kullanılabilir:
Get-Service | Where-Object { $_.DisplayName -like "*ServiceDesk*" -or $_.DisplayName -like "*M365 Manager*" -or $_.DisplayName -like "*AssetExplorer*" }CVE-2026-12507 için ikinci soru şu: Reports modülünde "Create Query Reports" yetkisi hangi rollere verilmiş? Bunu Admin › Roles ekranında kontrol edin. Bu yetkiye sahip teknisyen sayısı ne kadar fazlaysa ele geçirilmiş tek bir hesabın etkisi o kadar büyür.
Ne yapılmalı?
- ServiceDesk Plus ailesini ve M365 Manager Plus'ı tablodaki düzeltilmiş build'e ya da daha yenisine yükseltin. Service pack'i uygulamadan önce veritabanı ve kurulum dizini yedeğini alın.
- Upgrade'e kadar geçici önlem olarak "Create Query Reports" yetkisini yalnızca gerçekten ihtiyaç duyan birkaç yönetici rolüyle sınırlayın. M365 Manager Plus'ta delegated teknisyen hesaplarını gözden geçirin, kullanılmayanları kapatın.
- Bu ürünlerin web arayüzünün internete açık olmadığını doğrulayın; erişim yalnızca kurum ağından ya da VPN'den olmalı.
- Reports modülünde son aylarda oluşturulan ve değiştirilen sorgu raporlarını, ürün sunucusunda beklenmedik alt süreçleri (cmd.exe, powershell.exe) EDR üzerinden gözden geçirin.
- ITSM ve kimlik yönetimi araçları genellikle yüksek yetkili servis hesaplarıyla çalışır. Upgrade'i change management sürecinde öncelikli olarak planlayın.
