Progress, beşi kritik 31 MarkLogic açığını duyurdu: Yetki yükseltip yönetici olunabiliyor

The Hacker News'in aktardığına göre Progress Software, MarkLogic Server veritabanında beşi kritik toplam 31 güvenlik açığını duyurdu. Açıklar, yalnızca bazı yönetim yetkilerine sahip bir hesabın sunucunun tam yönetici kontrolünü ele geçirmesine imkân verebiliyor. CVE kayıtları 12 Ekim 2026'da yayımlandı; düzeltilmiş sürümler ise 10 Eylül'den beri mevcut. Bu, 68 gün içinde MarkLogic için açıklanan ikinci büyük açık grubu.

Neler oldu?

The Hacker News'e göre grupta beş kritik, 24 yüksek ve iki orta önemde açık bulunuyor. Progress'in CVE kayıtları ve yükseltme notları açıklardan herhangi birinin saldırılarda kullanılıp kullanılmadığını belirtmiyor; yayının 13 Ekim'deki kontrolünde hiçbiri CISA'nın aktif olarak istismar edilen açıklar (KEV) kataloğunda yer almıyordu. Hemen yükseltme yapamayan müşteriler için geçici önlem önerilmiyor.

Düzeltmeler, 11.x uzun süreli destek hattı için MarkLogic 11.3.7 ve 12.x yenilik hattı için 12.1.0 sürümlerinde yer alıyor. 12.0 için yamalı bir sürüm olmadığından 12.0.x kullanıcılarının 12.1.0'a geçmesi gerekiyor. Ağustos ayında çıkan 11.3.6 ve 12.0.3 sürümleri de yeni açıklardan etkileniyor.

Teknik detaylar

CVSS 9.9 puanlı en ciddi iki açık, yetki devredilmiş yöneticilerin yetkisini yükseltmesine izin veriyor. CVE-2026-85947, forest yönetimi yetkisine sahip bir hesabın kalıcı bir yönetici hesabı oluşturmasına; CVE-2026-85948 ise kullanıcı yönetimi yetkisine sahip bir hesabın, kullanımdan kaldırılmış bir Management API yolundaki XQuery enjeksiyonu üzerinden kalıcı yönetici kontrolü elde etmesine imkân veriyor. Diğer kritik açıklar şunlar: xdmp-eval-in yetkisine sahip hesaplara yükseltilmiş yetkiyle sunucu tarafında kod çalıştırma imkânı veren CVE-2026-85955 (9.9), devredilmiş veritabanı yöneticisinin kendi veritabanı dışındaki forest'ları yedekleyip geri yüklemesine izin veren CVE-2026-85956 (9.6) ve bazı REST ile XDBC değerlendirme yollarını etkileyen CVE-2026-9191 (9.6). Kritik açıkların dördü dış araştırmacılar tarafından Bugcrowd üzerinden bildirildi.

Diğer bazı açıklar yapılandırmaya bağlı. The Hacker News'e göre kimliği doğrulanmamış uzaktaki bir saldırgan, sunucunun reddetmesi gereken bir SAML onayını kabul etmesini sağlayabiliyor (CVE-2026-85962); reddedilmesi gereken OAuth jetonları kabul edilebiliyor (CVE-2026-85958) ve belirli bir IAM izleme yolu açıkken tanılama günlükleri AWS gizli anahtarlarını ve oturum jetonlarını düz metin olarak saklayabiliyordu. CVE-2026-85959 nedeniyle başarılı oturum açmalar denetim günlüğüne her zaman yazılmıyordu; bu da yetkisiz erişimin tespitini zorlaştırabilir.

Kimler etkileniyor?

11.3.7 veya 12.1.0'ın altındaki sürümlerde kendi barındırdığı MarkLogic Server'ı çalıştıran kurumlar, özellikle de forest, veritabanı veya kullanıcı yönetimini yönetici olmayan hesaplara devredenler risk altında. Kayıtlar, CVE-2026-85947 ile önceden oluşturulmuş bir yönetici hesabının yükseltmeyle kaldırılıp kaldırılmadığını belirtmiyor.

Ne yapmalı?

11.3.7 veya 12.1.0 sürümüne yükseltin. Progress'in notları, yükseltmeden önce devredilmiş forest ve veritabanı yetkilerinin gözden geçirilmesini ve xdmp-eval-in yetkisine sahip rollerin denetlenmesini öneriyor. Uyumluluk değişikliklerine hazırlıklı olun: eski mlcp sürümleri yeni sürümlerle çalışmıyor; /manage/v2/packages API'si, InfoStudio ve OpsDirector kaldırıldı; kümede yeni bilet sisteminin kullandığı beş addan biriyle aynı adı taşıyan bir rol, kullanıcı veya yetki varsa yükseltme başarısız olabiliyor. Yöneticilerin ayrıca yönetici hesapları listesinde kendilerinin oluşturmadığı kayıtları kontrol etmesi yerinde olur.