VMware ESX'te yetersiz günlükleme açığı (CVE-2026-41709). CVSS 2.7 ama CISA KEV'de. Düzeltilen sürümler ve yapılacaklar burada.
Sunucu yöneticilerinin en çok istemediği şeylerden biri, bir işlemin hiç kayda geçmeden yapılabilmesidir. Broadcom’un VMware ESX için yayımladığı bir açık tam olarak bunu mümkün kılıyor. Puanı düşük görünüyor, ama CISA bu açığı aktif istismar edilen açıklar listesine aldı. Bu yüzden önceliği küçümsemeden ele almak gerekiyor.
Kısa cevap: CVE-2026-41709, VMware ESX’te yetersiz günlükleme açığıdır. Yönetici yetkisine sahip kötü niyetli bir kişi, bazı işlemleri kayıtlara düşmeden yapabilir. CVSS puanı 2.7 (düşük), ancak CISA açığı 28 Ekim 2026’da KEV listesine ekledi. ESX sürümünü kontrol et ve Broadcom’un VMSA-2026-0006 duyurusunda listelenen düzeltilmiş bir sürüme güncelle. Hemen güncelleyemiyorsan yönetici erişimini daralt ve günlükleri sunucu dışına aktar.
Ne oldu?
ESX, sanal makinelerin üzerinde çalıştığı hipervizördür. Açık, ESX’in bazı işlemleri yeterince kaydetmemesinden doğuyor. Güvenlik dünyasında bu tür hatalar CWE-778, yani “Insufficient Logging” (yetersiz günlükleme) sınıfına girer. Sistem işlemi yapıyor ama her adımın izini tutmuyor.
Saldırı için yönetici yetkisi gerekiyor. Bu yüzden CVSS puanı düşük çıkmış. Yine de yetki sahibi biri bu boşluğu kullanırsa, yaptığı işlem sonradan kayıtlardan görülmeyebilir.
Broadcom açığı 29 Temmuz 2026’da VMSA-2026-0006 duyurusuyla yayımladı ve açığı CrowdStrike’tan Ian Barton bildirdi. CISA, açığı 28 Ekim 2026’da KEV kataloğuna ekledi. Federal kurumlar için CISA’nın belirlediği son tarih 11 Kasım 2026.
Açık üç aydan biraz eski. NVD kaydı 30 Temmuz 2026 tarihli. Yani eski bir açık, ama saldırılarda kullanıldığı yakın zamanda doğrulandı. Fidye yazılımı kampanyalarında kullanılıp kullanılmadığı KEV kaydında “Bilinmiyor” olarak geçiyor.
Kimler etkileniyor?
| Özellik | Bilgi |
|---|---|
| CVE kimliği | CVE-2026-41709 |
| CVSS | 2.7, önem derecesi Düşük (vektör: AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:N) |
| Zayıflık türü | CWE-778, Insufficient Logging |
| NVD yayın tarihi | 30 Temmuz 2026 |
| Üretici duyurusu | VMSA-2026-0006, 29 Temmuz 2026 (19 Ağustos 2026’da güncellendi) |
| CISA KEV’e eklenme | 28 Ekim 2026 |
| CISA son tarihi | 11 Kasım 2026 |
| Fidye yazılımı kullanımı | Bilinmiyor |
| Düzeltilen: VCF / vSphere Foundation 9.1.x (ESX) | ESXi-9.1.0.0-25370933 |
| Düzeltilen: VCF / vSphere Foundation 9.0.x (ESX) | ESXi-9.0.2.0100-25595025 |
| Düzeltilen: vSphere ESXi 8.0 | ESXi80U3j-25429389 |
| Düzeltilen: VCF 5.x | 5.2.4 |
| Düzeltilen: Telco Cloud Platform 5.0.x ve 5.1.x | Duyurudaki KB449886 |
| Üretici matrisinde olmayanlar | ESX 7.0, Workstation, Fusion |
Sürümün tabloda yoksa, kendi ürün hattın için VMSA-2026-0006 duyurusuna bak. Matriste ESX 7.0 ya da masaüstü ürünler bu CVE için yer almıyor. Yine de emin olmak için duyuruyu kendin açıp kontrol etmeni öneririm.
Ne yapmalısın?
- Sürümünü öğren. ESX sunucusuna SSH ile girip
esxcli system version getkomutunu çalıştır. Çıktıdaki Version ve Build satırlarına bak. vSphere istemcisinde de sunucunun özet sayfasında aynı bilgi görünür. - Build numarasını karşılaştır. Çıkan build numarasını yukarıdaki tablodaki düzeltilmiş sürümle eşleştir. Düzeltilmiş sürümden eskiyse o sunucu güncellenmelidir.
- Güncelle. vSphere Lifecycle Manager ya da Update Manager ile yamayı uygula. Önce bir test sunucusunda dene, sonra bakım modunda üretime al.
- Yönetici hesaplarını daralt. Bu açığın koşulu yönetici yetkisi. Paylaşılan yönetici hesaplarını kaldır, her yöneticinin kendi hesabıyla girdiğinden emin ol ve gereksiz yetkileri geri al.
- Günlükleri dışarıya aktar. Bir syslog sunucusu tanımla. Bu, açığın kendisini kapatmaz. Ama sunucu üzerindeki kayıtlar silinse ya da düşmese bile dışarıda bir kopya kalır.
- Hemen güncelleyemiyorsan. Duyuruda bu CVE için geçici çözüm yok. CISA da önlem alınamıyorsa ürünü kullanmayı bırakmayı öneriyor. Pratikte yama penceresini bu hafta planla ve yönetici girişlerini dışarıdaki kayıtlardan elle izle.
- Şüphelendiğin bir şey varsa. Yönetici hesaplarının son girişlerini ve sunucudaki beklenmedik değişiklikleri incele. Bir boşluk ya da açıklanamayan bir işlem görürsen olay müdahale ekibine hemen haber ver.
Sık sorulan sorular
Beni etkiliyor mu?
Sunucularında VMware ESX (ESXi) çalışıyorsa ve düzeltilmiş bir sürümde değilsen evet. Üretici matrisinde bu CVE için Workstation ya da Fusion yer almadığından, masaüstü sanallaştırma kullanıyorsan öncelik farklı olabilir.
CVSS düşük, yine de önemli mi?
Evet. Puan düşük ama CISA açığı aktif istismar edilen listeye aldı. CVSS tek başına risk ölçmez. Bu açık, bir saldırının kendisinden çok, saldırının izini bulmayı zorlaştırıyor. Olay sonrası inceleme yaparken eksik kayıt, işini çok zorlaştırır.
Hemen güncelleyemezsem ne yapmalıyım?
Duyuruda geçici çözüm listelenmemiş. Yönetici hesaplarını azalt, günlükleri sunucu dışına aktar ve yamayı en kısa sürede planla. Federal kurumlar için son tarih 11 Kasım 2026, sen de önceliği buna göre belirleyebilirsin.
Kaynaklar
- NVD kaydı: https://nvd.nist.gov/vuln/detail/CVE-2026-41709
- CISA KEV kataloğu: https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- Broadcom güvenlik duyurusu VMSA-2026-0006: https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/38017
Bu yazı 6 Kasım 2026’da CISA ve NVD kayıtlarına göre hazırlandı; yeni bilgi çıkarsa güncellenecek. Sunucu güncellemesi ve güvenlik bakımı için teklif formu üzerinden bana ulaşabilirsin.