cPanel’in 29 Eylül Güvenlik Yamaları: Güncelleme Kutusunu Değil, Sürümü Kontrol Edin

Hosting kontrol paneli, sistem yöneticisinin işini kolaylaştırmak için vardır. Yönetici yetkilerini başka birine kullandırmak, bu kolaylığı biraz fazla ileri götürmek olur.

cPanel’in 29 Eylül’de yayımladığı üç güvenlik duyurusu, bu haftanın bakım gündemine girmeyi hak ediyor. Konular Multilang adminbin bileşeni, WHM hesap düzenleme ekranı ve WHM SSL yönetimi. İşletme sahibi açısından sorulacak soru basit: Hesabımın bulunduğu sunucunun düzeltmeleri aldığı doğrulandı mı? Otomatik güncellemenin açık olması, güncellemenin tamamlandığını tek başına göstermez.

Duyurular ne söylüyor?

Multilang adminbin için CVE-2026-93698, yetersiz girdi doğrulaması nedeniyle keyfî komut çalıştırılmasına ilişkin. Üretici, başarılı saldırının root yetkileriyle kod çalıştırılmasına ve sunucunun tamamının tehlikeye girmesine yol açabileceğini belirtiyor. Duyuru, saldırganın önceden hangi erişime sahip olması gerektiğini açıklamıyor; aktif saldırı yaşandığını da söylemiyor. Bu boşlukları tahminle doldurmuyoruz.

Hesap düzenleme ekranındaki CVE-2026-93697, WHM Mass Modify Accounts arayüzündeki kalıcı XSS açığı. Yetkisiz bir hesap sahibinin, WHM yöneticisinin oturumunda betik çalıştırarak o yönetici adına işlemler yapmasına imkân verebiliyor.

SSL yönetimindeki CVE-2026-93029 ise WHM Manage SSL Hosts ekranında benzer bir yönetici oturumu riskini tanımlıyor. Burada sorun yönetim arayüzünde; duyuru TLS şifrelemesinin kırıldığını söylemiyor. SSL kelimesini görüp sertifikaları topluca değiştirmeye girişmek doğru sonuç olmaz.

İlk açık sunucudaki komutlara, diğer ikisi yöneticinin tarayıcı oturumuna uzanıyor. Dolayısıyla yalnızca müşterinin gördüğü web sitesini kontrol etmek yeterli bir bakım yaklaşımı sayılmaz. Siteyi yöneten araçların da güvenlik gündeminde yeri var.

Hangi sürümde düzeltme var?

Üç duyurunun da kendi sürüm kolları için verdiği düzeltilmiş derlemeler aynı:

Kurulu sürümü, bulunduğu kolun satırıyla karşılaştırın. Son rakamı başka bir kolun son rakamıyla kıyaslamak anlamlı değildir. Daha büyük bir ana sürüm numarasının her düzeltmeyi içerdiğini de varsaymayın. Kurulumunuz tabloda yer almıyorsa, desteklenen yükseltme yolunu üreticiyle netleştirin.

Güncellemeyi bakım kaydına dönüştürün

Önce sorumluluğu belirleyin. Paylaşımlı hosting kullanan işletmenin yapacağı iş, hizmet sağlayıcısından bilgi istemektir. Kendi sunucusunu yöneten kişinin ise kurulu derlemeyi kontrol etmesi gerekir. Sunucu adı, mevcut sürüm, hedef sürüm ve bakım sırasında ulaşılacak kişi aynı kayıtta bulunsun.

Güncellemeden önce kullanılabilir bir yedeği ve geri dönüş planını kontrol etmenizi öneririm. Panel erişimi kesilirse hangi kanaldan destek alacağınızı bilmek de hazırlığın parçasıdır. Bunlar güvenlik güncellemesini süresiz ertelemenin gerekçesi olmamalı. Hiç geri yükleme denenmemiş bir yedek, insana güven verir; sunucuya ne vereceği ayrı konudur.

cPanel’in resmî güncelleme yönergesi, WHM üzerinden root olarak giriş yapılmasını, Home → cPanel → Upgrade to Latest Version yolunun açılmasını ve Click to Upgrade düğmesinin kullanılmasını anlatıyor. Sunucu yöneticisinin root olarak uygulayabileceği komut satırı seçeneği de şu:

/usr/local/cpanel/scripts/upcp --force

İşlem tamamlandığında kurulu derlemeyi yeniden kontrol edin ve güncelleme sonucunu inceleyin. Ardından panel girişini, örnek bir web sitesini, e-posta erişimini ve sertifika yönetimini denemenizi öneririm. Bakım kaydına yalnızca “güncellendi” yazmak yerine hangi kontrollerin geçtiğini ekleyin. Komutun tamamlanmasıyla müşterinin günlük işini sürdürebilmesi birbirini tamamlayan iki ayrı kontroldür.

Bu kaydın uzun olması gerekmiyor. İşlem saati, önceki ve sonraki sürüm, kontrol edilen hizmetler ve varsa bekleyen sorunlar yeterli bir başlangıçtır. Bir sonraki yönetici aynı sunucuya baktığında ne yapıldığını anlayabilmeli. Bakımın bilgisi yalnızca işlemi yapan kişinin hafızasında kalırsa, izin gününde o bilgiye ulaşmak zorlaşır.

kalfaoglu.net müşterileri açısından anlamı

Yönetilen hosting hizmeti kullanıyorsanız, hesabınızın bulunduğu sunucunun düzeltilmiş derlemede olup olmadığını sorun. Müşterinin bunu öğrenmek için root komutlarını denemesine gerek yok. VPS yönetimini kendiniz yapıyorsanız, panel güncellemelerinin sizin sorumluluğunuzda mı yoksa hizmet kapsamında mı olduğunu netleştirin.

Destek talebine alan adınızı ve hizmetinizi ekleyin; parolanızı göndermeyin. Yanıtta yalnızca genel bir güvence yerine, ilgili sunucu için güncelleme durumunun doğrulanmasını isteyin. Böylece görüşme, belirsiz bir endişeden takip edilebilir bir bakım sorusuna dönüşür. Sorumlunun kim olduğu anlaşılmadan başlatılan telaşlı işlemler ise çözümü kolaylaştırmaz.

Güncelleme ihtiyacı, sunucunun ele geçirildiğini kanıtlamaz. Güncellemenin yapılmış olması da geçmişte hiç saldırı olmadığını kanıtlamaz. Şüpheli yönetim işlemleri gördüyseniz ilgili kayıtları koruyun ve sunucu yöneticisiyle ayrı bir inceleme başlatın.

Bu haftanın hedefi gösterişli değil: doğrulanmış bir sürüm ve kısa, anlaşılır bir bakım kaydı. “Yapıldı mı?” sorusuna “Herhâlde” yerine somut bir yanıt verebilmek, güvenlikte küçümsenmeyecek bir ilerlemedir.