Zafiyet Takip Merkezi
Saldırıda kullanılan ve kritik açıklar, üreticiye göre.
En yeni haber en üstte. Saldırılarda kullanılan zero-day açıkları ve CISA KEV kayıtları kırmızı, henüz istismar bildirilmemiş kritik açıklar turuncu etiketlidir; yalnızca saldırıda kullanılanları görmek için filtreyi işaretleyin. Kullandığınız üreticileri seçip kaydedin; sayfa her açılışta sizin listenizle gelir. Mobil uygulamada da aynı seçimle bildirim alabilirsiniz.
Tehdit İstihbaratıYÜKSEKİSTİSMAR2026'da yayımlanan CVE sayısı 100 bini aştı: VulnCheck'e göre artışın ana nedeni AI ile zafiyet avcılığı
ZafiyetYÜKSEKİSTİSMARUnrealIRCd'de sahada istismar edilen açık (CVE-2026-114713) CISA KEV'e girdi: 6.2.7.1'e upgrade ya da hot-patch gerekiyor
UnrealIRCd
CVE-2026-114713
ZafiyetYÜKSEKİSTİSMARCheck Point DynamicCLI açığı (CVE-2026-123039) CISA KEV kataloğuna girdi: federal kurumlara son tarih 16 Kasım
Check PointCVE-2026-123039
ZafiyetKRİTİKİSTİSMARSiemens'te PHP2Shell ve Node2Shell: beş ICS bülteni, Spectrum Power ve AMIS TS dahil birçok üründe henüz patch yok
SiemensCVE-2026-109618CVE-2026-109619CVE-2026-111497
ZafiyetYÜKSEKİSTİSMARCheck Point DynamicCLI zero-day'i (CVE-2026-123039): düzeltilmiş Jumbo Hotfix take'leri belli oldu, R81.10 ve R81 için patch yok
Check PointCVE-2026-123039
ZafiyetKRİTİKİSTİSMARCisco Secure Email Gateway'de saldırılarda kullanılan CVE-2026-76519: e-posta ekiyle root yetkisi, workaround yok
CiscoCVE-2026-76519
ZafiyetKRİTİKİSTİSMARCheck Point: Yamasız Security Gateway'ler PHP2Shell ile ele geçirildi; Mobile Access portalından girildi, bazı kurumlarda wiper çalıştırıldı (CVE-2026-123039)
Check PointCVE-2026-109618CVE-2026-109619CVE-2026-123039
ZafiyetKRİTİKMicrosoft Aspire Dashboard'da kritik açık (CVE-2026-118740): kimlik doğrulamasız rota telemetriyi sildirebiliyor, browser token'ı açığa çıkarabiliyor
MicrosoftCVE-2026-118740
Yama & SürümKRİTİKRed Hat Quay'deki kritik açıklar için patch geldi: Quay 3'ün sekiz dalına RHSA yayımlandı, Quay 5 hâlâ bekliyor
Red HatQuayCVE-2026-123710CVE-2026-110697
ZafiyetKRİTİKCisco Meraki hardening sürümü: MX, MR, MS, MG ve MV'de yedi CVE grubu, en yükseği CVSS 9.6 (CVE-2026-76464)
CiscoCVE-2026-76464CVE-2026-76463CVE-2026-76470CVE-2026-76472
ZafiyetKRİTİKFortiMail'de yedinci kritik açık: kimliksiz SQL injection (CVE-2026-126164) ve 14 yüksek bildirim daha
FortinetCVE-2026-126164CVE-2026-126153CVE-2026-126159CVE-2026-126160
ZafiyetKRİTİKCopeland XWEB EVO soğutma kontrolcülerinde 14 açık: kimliksiz root komut çalıştırma mümkün, son sürüm için patch yok
CopelandCVE-2026-124002CVE-2026-124003CVE-2026-124004CVE-2026-124005
ZafiyetKRİTİKİSTİSMARN-central'da 4EverAble2Shell artık saldırılarda: Huntback 21 canlı sunucuda Monero miner buldu, yamalı HF2 de etkileniyor
N-ableCVE-2026-90436
ZafiyetYÜKSEKİSTİSMARİDDİAWindows'ta yeni "SignDrop" zero-day iddiası: CLFS korumasını aşarak SYSTEM yetkisi verdiği öne sürülüyor, patch yok
Microsoft
ZafiyetKRİTİKPTC Windchill ve FlexPLM'de yeni kritik RCE açığı CVE-2026-126325: kendi sunucusunda barındıranlara acil patch çağrısı
PTCCVE-2026-126325
ZafiyetKRİTİKN-central'da yeni exploit iddiası: 4EverAble2Shell ve Agent2Shell, yamalı 2026.4 HF2 sunucularını hedefliyor; N-able Legacy API'nin kapatılmasını istiyor
N-ableCVE-2026-90436
ZafiyetKRİTİKNetScaler ADC ve Gateway'de dokuz kritik bellek açığı, Console'da kimliksiz erişim (CVE-2026-120868, CVE-2026-107412, CVE-2026-120869)
Citrix / NetScalerCVE-2026-120868CVE-2026-107407CVE-2026-107408CVE-2026-107409
ZafiyetKRİTİKMISP Modules'te iki kritik açık: external tools ekranı kimliksiz yönetilebiliyor, API anahtarları açıkta
MISPCVE-2026-127016CVE-2026-127046
ZafiyetKRİTİKFortiMail'de kimlik doğrulamasız kod çalıştırma ve IBE hesap ele geçirme, FortiAuthenticator'da hard-coded parola: Fortinet'in Kasım bülteninde gözden kaçan 8 kritik açık
FortinetCVE-2026-126147CVE-2026-126148CVE-2026-126150CVE-2026-126155
ZafiyetKRİTİKSynology DSM'de kritik açık: Auth API'de SQL injection (CVE-2026-76954) ve rsync'te authentication bypass (CVE-2026-85101)
SynologyCVE-2026-76954CVE-2026-85101
ZafiyetKRİTİKAzul Payara'da iki kimliksiz yönetici erişimi açığı: JMX'te CVE-2026-90908, REST yönetim arayüzünde CVE-2026-110003
AzulPayaraCVE-2026-90908CVE-2026-110003
ZafiyetKRİTİKManageEngine ServiceDesk Plus ailesinde Reports modülü açığı CVE-2026-12507 ve M365 Manager Plus'ta CVE-2026-12591 kamuya açıklandı
ManageEngineCVE-2026-12507CVE-2026-12591
ZafiyetKRİTİKRed Hat Quay'de kritik açık CVE-2026-123710: anonim token ile kayıt imza anahtarı eklenebiliyor, özel imajlar açıkta
Red HatQuayCVE-2026-123710CVE-2026-110697
ZafiyetKRİTİKZoom Workplace for Windows'ta kritik açık CVE-2026-108186: ağ üzerinden kimlik doğrulamasız yetki yükseltme
ZoomCVE-2026-108186CVE-2026-108187
ZafiyetKRİTİKApache HTTP Server'da kritik mod_http2 açığı CVE-2026-119618, 2.4.71 ile kapatıldı
ApacheRed HatCVE-2026-119618CVE-2026-106023CVE-2026-109163
ZafiyetKRİTİKDirectus'ta CVSS 9.2'lik açık, public WebSocket'te başarısız kimlik doğrulama tüm koleksiyonlara yetkisiz erişim veriyor
DirectusCVE-2026-126539
Yama & SürümKRİTİKIvanti Kasım bültenleri: Endpoint Manager'da kimliksiz kod çalıştırma (CVE-2026-121653) ve CSA'da kritik açık
IvantiCVE-2026-121653CVE-2026-121683CVE-2026-18128CVE-2026-105425
ZafiyetKRİTİKAVideo'da CVSS 9.8'lik açık, sosyal girişte görünen ad üzerinden yönetici hesabı ele geçirilebiliyor
WWBN AVideoCVE-2026-126542
Tehdit İstihbaratıYÜKSEKİSTİSMARAlman bulut dosya paylaşım servisi PowerFolder Drive, bilinmeyen açıklarla saldırıya uğradı; servis dört gün kapalı kaldı, tüm parolalar sıfırlandı
PowerFolder
ZafiyetKRİTİKN-able, Able2Shell açıkları için N-central 2026.4 HF2'yi yayımladı; yedi CVE atandı, on-premises sunucular ve tüm Agent/Probe'lar yükseltilmeli
N-ableCVE-2026-125878CVE-2026-125879CVE-2026-125880CVE-2026-125881