Dovecot CVE-2026-40018: MySQL Kaçış Hatası SQL Enjeksiyonuna Kapı Açıyor

Dovecot’un güvenlik sayfası, 28 Ağustos 2026’da yüksek önemdeli yeni bir güvenlik açığı duyurusu yayımladı. Büyük Linux dağıtımları yamalı paketleri yaklaşık altı hafta sonra gönderdi; Red Hat’in RHEL 10 için hazırladığı güncelleme 8 Ekim 2026‘de yayımlandı. MySQL veya MariaDB arka ucuyla Dovecot çalıştırıyorsanız ve son zamanlarda güncelleme yapmadıysanız okumaya devam edin.

Açık Nedir?

CVE-2026-40018, Dovecot’un MySQL sürücüsündeki bir SQL enjeksiyonu açığıdır (CWE-89). SQL sorgu parametrelerini temizleyen kaçış işlevi, belirli çok baytlı karakter dizileri sırasında SQL bağlantısının düşüp yeniden kurulması durumunda karakter seti bilgisinden habersiz bir kaçış çağrısına geri döner. Bu anda hazırlanmış bir girdi gönderebilen bir saldırgan — örneğin bozuk bir kullanıcı adı ya da parola dizisiyle — beklenen SQL bağlamının dışına çıkabilir ve hassas verileri okuyabilir ya da değiştirebilir.

Bu, “payload’ı yapıştır ve izle” türünden kolayca sömürülebilir bir açık değildir. CVSS 3.1 puanı 7.4 (Yüksek) olup Saldırı Karmaşıklığı Yüksek olarak belirtilmiştir (CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N). Herhangi bir ayrıcalık gerekmez ve ağ üzerinden erişilebilirdir; bu durum açığı “hemen yamala” kategorisinde tutar, her ne kadar önümüzdeki 24 saat içinde yaygın bir saldırı dalgası beklenmese de.

Açık yalnızca MySQL ya da MariaDB’yi kullanıcı kimlik doğrulama veya posta depolama arka ucu olarak kullanan Dovecot kurulumlarını etkiler. Dovecot’u yalnızca düz dosyalar veya SQL arka ucu olmayan LDAP ile çalıştırıyorsanız bu açıktan etkilenmezsiniz.

Etkilenen Sürümler

• OX Dovecot Community Edition: 2.3.0’dan 2.4.4’e kadar — düzeltme 2.4.5 sürümündedir
• OX Dovecot Pro: 2.3.0’dan 3.1.5’e kadar — düzeltme 3.1.6 sürümündedir

Dağıtımların büyük çoğunluğu kararlı paket olarak 2.3.x dalını kullanır; bu nedenle pratik düzeltme, dağıtımınızın yamayı geri aktardığı sürüme güncelleme yapmaktır.

Dağıtımlara Göre Yama Durumu

Debian ve Ubuntu için kendi dağıtımınızın güvenlik izleme sayfasını kontrol edin. Üretici düzeltmesi Red Hat duyurusundan altı hafta önce geldi; dolayısıyla Dovecot paketiniz Ağustos sonundan bu yana güncellenmemişse hâlâ açık olabilir.

Saldırı Riski

Bu yazının yayımlandığı tarih itibarıyla kamuya açık herhangi bir kavram kanıtı saldırısı bulunmamaktadır. EPSS puanı yüzde 0,27 (önümüzdeki 30 gün içinde sömürülme olasılığı düşük) ve açık, CISA’nın Bilinen Sömürülen Güvenlik Açıkları kataloğunda yer almamaktadır. Yüksek saldırı karmaşıklığı puanı gerçek bir şartı yansıtır: saldırganın, bozulmuş kaçış dizisinin sızmasına izin verecek şekilde bir istek sırasında SQL bağlantısını düşürüp yeniden kurdurması gerekir. Bu durum tamamen teorik değildir, ancak yoğun bir posta sunucusunda da otomatik olarak gerçekleşmez.

Kamuya açık saldırı kodu olmaması, yüksek karmaşıklık şartı ve üreticinin duyurusunun yaklaşık iki ay önce yayımlanmış olması, bunun aktif bir olay olmadığına işaret etmektedir. Ancak birisi çalışan bir tetikleyici yayımladığında bu tür açıkların nasıl hızla silah haline geldiği bilinen bir gerçektir. Beklemenin iyi bir gerekçesi yok.

kalfaoglu.net Müşterileri İçin Anlamı

kalfaoglu.net bünyesindeki posta sunucuları, kullanıcı hesaplarını SQL destekli bir Dovecot kurulumu üzerinden doğrular. CVE-2026-40018’in başarıyla sömürülmesi — ki bunun için ağ üzerinden bir saldırgan, bozulmuş bir SQL bağlantısı ve hazırlanmış bir payload gerekir — teorik olarak posta veritabanında depolanan hesap kimlik bilgisi özetlerini açığa çıkarabilir ya da kimlik doğrulama kayıtlarının değiştirilmesine izin verebilir.

Dovecot sürümümüzü takip ediyor ve yamalı paketleri bir sonraki bakım penceresinde uygulayacağız. Sömürüye dair herhangi bir kanıt bulunmamakta olup müşterilerin şu an için parolalarını değiştirmesine gerek yoktur. Bu değerlendirme değişirse doğrudan bildireceğiz.

Ne Yapmalısınız?

Dovecot ve MySQL/MariaDB ile kendi hosting altyapınızı yönetiyorsanız:

1. Dovecot sürümünüzü kontrol edin: dovecot --version
2. Yüklü paket yamalanmış mı? rpm -q dovecot veya dpkg -l dovecot-core
3. Değilse güncelleyin: dnf update dovecot (RHEL ailesi) veya apt upgrade dovecot-core (Debian ailesi)
4. SQL erişimini kısıtlayın: Dovecot’un veritabanı kullanıcısına yalnızca gerçekten ihtiyaç duyduğu izinler verilmelidir; kota verilerini SQL üzerinden saklamıyorsanız kullanıcı tablosunda yalnızca okuma yeterlidir.
5. Veritabanı günlüklerini izleyin: Dovecot bağlamında olağandışı sorgulara dikkat edin.

Yetkili kaynak olarak Dovecot güvenlik sayfasını takip etmeye devam edin. OX Dovecot Pro kullanıcıları 3.1.6 yapısı için sağlayıcılarıyla iletişime geçmelidir.