IBM WebSphere Application Server’da, potansiyel olarak uzak saldırganların etkilenen sistemlerde keyfi kod yürütmesine izin veren ciddi bir güvenlik kusuru tanımlanmıştır.
CVE-2025-36038 altında izlenen bu güvenlik açığı, CWE-502 kapsamında sınıflandırılan güvenilmeyen veri sorununun seansize edilmesinden kaynaklanmaktadır. IBM, CVSS vektörü: 3.1/av: n/ac: h/pr: n/ui: n/s: c/c: h/i: h/a: h, gizlilik, bütünlük ve kullanılabilirlik etkisi açısından yüksek şiddet gösteren kritik bir CVSS taban skoru atadı.
Güvenlik açığı, IBM WebSphere Uygulama Sunucusunun 9.0 ve 8.5 sürümlerini etkiler ve kurumsal uygulamaları barındırmak için bu yaygın olarak kullanılan ara katman yazılımı platformuna güvenen kuruluşlar için önemli bir risk oluşturmaktadır.
.png
)
Bu kusur, yüksek saldırı karmaşıklığında gezinebilmeleri koşuluyla, saldırganların önceden kimlik doğrulaması gerekmeden sistem üzerinde yetkisiz bir kontrol kazanmalarını sağlayarak, kötü niyetli bir dizi dizisi hazırlanarak kullanılabilir.
IBM WebSphere’de Kritik Güvenlik Açığı Ortaya Çıktı
IBM, sorunu atlamak için şu anda hiçbir geçici çözüm veya geçici hafifletme mevcut olmadığından, bu tehdidi azaltmak için acil eylemi çağıran güçlü bir danışma yayınladı.
IBM WebSphere Uygulama Sunucusu kullanan kuruluşlar için geleneksel sürümler 9.0.0.0 ila 9.0.5.24, IBM, gerekli düzeltme paketi seviyelerine yükseltilmeyi ve APAR PH66674 için ara düzeltmenin uygulanmasını veya 2025’in üçüncü çeyreğinde mevcut olması beklenen paket 9.0.5.25 veya sonraki sürümleri düzeltmeyi önerir.
Benzer şekilde, 8.5.0.0 ila 8.5.5.27 sürümleri için kullanıcılar, minimum düzeltme paketi gereksinimlerini karşıladıktan sonra PH66674 için ara düzeltmeyi uygulamalı veya Düzeltme Paketi 8.5.5.28 veya üstü, ayrıca üçüncü çeyrekte sürüm için planlanmıştır.
IBM’in resmi indirme sayfası aracılığıyla ek ara düzeltmelere erişilebilir ve şirket, potansiyel sömürü önlemek için bu güvenlik açığını derhal ele almanın önemini vurgulamaktadır.
Kuruluşlar, CVSS V3 kılavuzu ve güvenlik bülten referanslarında sağlanan çevrimiçi hesap makinesi gibi kaynakları kullanarak özel ortamları üzerindeki etkisini değerlendirmeye teşvik edilir.
Acil düzeltmeler ve öneriler
Bu güvenlik açığı, IBM WebSphere Application Server gibi karmaşık yazılım sistemlerinde, güvenilmeyen girişin felaket ihlallerine yol açabileceği karmaşık yazılım sistemlerindeki seansizasyon kusurlarıyla ilişkili kalıcı riskleri vurgular.
Kurumsal BT altyapısının temel taşı olarak WebSphere’nin böyle kritik bir kusura maruz kalması, titiz yama yönetimi ve güvenlik bültenlerinin sürekli izlenmesine olan ihtiyacı vurgulamaktadır.
IBM, CVSS puanlarının garanti olmadan “olduğu gibi” sağlandığını ve müşterilerin bu güvenlik açığının sistemleri üzerindeki gerçek dünya etkisini değerlendirme sorumluluğunu üstlendiğini açıkladı.
Şirket ayrıca, bültendeki desteklenen sürümlerden bahsedilmesinin, desteklenmeyen veya yaşam sonu sürümlerinin etkilenmediği anlamına gelmediğini ve tüm kullanıcıları sistem durumlarını doğrulamaya çağırmadığını belirtti.
Devam eden güncellemeler için IBM, “bildirimlerim” hizmetine abone olmayı gelecekteki güvenlik uyarıları hakkında bilgilendirmeyi tavsiye eder.
Siber tehditler gelişmeye devam ettikçe, bu olay, uzaktan sömürüye karşı kritik iş uygulamalarının korunmasında zamanında yazılım güncellemelerinin ve proaktif güvenlik açığı yönetiminin önemini açık bir hatırlatma olarak işlev görür.
İlk olarak 25 Haziran 2025’te yayınlandı ve daha sonra CVE kimliğini düzeltmek için güncellendi, bu bülten dünya çapında WebSphere yöneticileri için kritik bir eylem çağrısı işaret ediyor.
Bu haberi ilginç bul! Anında güncellemeler almak için bizi Google News, LinkedIn ve X’te takip edin