Veeam ve Juniper, kod calistirma ve yetki atlatmaya yol acan kritik aciklari kapatti

Kurumsal yazilim ureticileri Veeam ve Juniper Networks, yaygin olarak kullanilan yedekleme ve ag urunlerindeki kritik aciklar icin yamalar yayimladi; habere gore Adobe'nin de kritik bir dizi duzeltmesi ayni haftaya denk geldi. SecurityWeek'in aktardigina gore uc ureticiden hicbiri aciklarin vahsi dogada istismar edildigine dair bir bilgisi oldugunu soylemiyor, ancak birkac sorunun ciddiyeti hizli yamalamayi gerekli kiliyor.

Neler oldu?

SecurityWeek'e gore Veeam; Backup for Microsoft 365, Backup & Replication, Veeam ONE ve Veeam Agent for Linux urunlerine yayilan dokuz guvenlik kusurunu giderdi. Juniper Networks ise SecurityWeek'in Ekim 2026 surumu olarak bagladigi bir duyuruyla Session Smart Router ve Session Smart Conductor urunlerindeki 18 acigi kapatti. Adobe da kendi kritik duzeltmeleriyle haftayi tamamladi. SecurityWeek, ureticilerin guncellemeleri "bu hafta" yayimladigini belirtiyor ve her biri icin ayri yayim tarihleri vermiyor.

Teknik detaylar

SecurityWeek, en ciddi Veeam sorununun, yapilandirma verilerine kiracilar arasi okuma/yazma erisimine ve uzaktan kod calistirmaya imkan verebilecek bir Backup for Microsoft 365 acigi oldugunu bildiriyor. Ayri bir Backup & Replication acigi ise kimlik dogrulamasi olmayan saldirganlarin yetkilendirmeyi atlatmasina izin verebiliyordu. Diger yuksek ve orta onem dereceli Veeam sorunlari arasinda bir REST API kimlik dogrulama atlatma, keyfi dosya okuma/yazma, yerel yetki yukseltme ve bir cok asamali dogrulama (MFA) atlatma yer aliyor. Juniper tarafinda SecurityWeek, Session Smart aciklarindan ikisinin kritik oldugunu ve kimlik dogrulamasiz keyfi komut calistirma ile yetki yukseltmeye imkan verdigini; yuksek onem dereceli sorunlarin ise keyfi dosya islemleri, kod calistirma, yetki yukseltme, bilgi sizdirma ve hizmet disi birakma (DoS) icerdigini belirtiyor. SecurityWeek, yazida Veeam ve Juniper aciklari icin CVE kimlikleri, CVSS puanlari veya yamali surum numaralarinin yer almadigini not ediyor.

Kimler etkileniyor?

Etkilenen urunler kurumsal BT'nin temel taslari: Veeam'in yedekleme ve cogaltma paketi Microsoft 365, sanal ve fiziksel ortamlardaki verileri korumak icin kullaniliyor; Juniper'in Session Smart Router ve Conductor urunleri ise kurumsal ve servis saglayici aglarinda konuslandiriliyor. SecurityWeek ayrica ayri bir Juniper duyurusunun, PHP2Shell sorunuyla baglantili olarak Junos OS'u etkileyen CVE-2026-109618'i kapsadigini ancak bunun "istismar edilebilir bicimde" olmadigini ve Juniper'in yaklasik bir duzine diger urununden hicbirini savunmasiz bulmadigini belirtiyor.

Ne yapmali?

SecurityWeek, Veeam'in Backup for Microsoft 365 ve Backup & Replication aciklarinin kod calistirma ve yetki atlatmaya yol acabilecegini, Juniper'in Session Smart urunlerinin ise kimlik dogrulamasiz komut calistirma hatalari icerdigini bildirdigi icin yoneticilerin, testler elverdiginde ureticilerin en son guncellemelerini en kisa surede uygulamasi gerekiyor. Ekipler, tam yamali surumler ve etkilenen yapilar icin Veeam ve Juniper'in resmi duyurularina basvurmali, internete acik ve cok kiracili kurulumlari oncelemeli ve saldirganlarin kurtarmayi engellemek icin sik hedef aldigi yedekleme altyapisina erisimi gozden gecirmelidir.