MariaDB veya Dovecot çalıştırıyorsanız — ve bir veritabanı destekli posta sunucusu barındırıyorsanız neredeyse kesinlikle çalıştırıyorsunuzdur — son birkaç haftada yayımlanan güvenlik bildirimlerini zaten uygulamış olmanız gerekiyordu. Henüz uygulamadıysanız, bu yazı bir hatırlatıcı olsun.
MariaDB: Dördü CVE, Biri Olası Uzaktan Kod Çalıştırma İçeriyor
7 Eylül 2026’da MariaDB, desteklenen tüm büyük sürüm dallarını etkileyen dört CVE için bildiri yayımladı. Hiçbiri Kritik seviyesinde değil; ancak üçü CVSS 8.0–8.5 aralığında Yüksek olarak derecelendirilmiş — bu fark, pratikte pek de önemli değil.
En ciddi olanı CVE-2026-107815 (CVSS 8.5): CONNECT depolama motorundaki bir sınır kontrol hatasıdır. Araştırmacılar, laboratuvar ortamında uzaktan kod çalıştırmayı başardı; MariaDB, sahada doğrulanmış bir saldırı olmadığını belirtiyor. CONNECT eklentisini kullanmıyorsanız, eklentiyi devre dışı bırakmak güvenlik açığını tamamen ortadan kaldırıyor — geçici çözüm olarak hemen uygulanabilir.
CVE-2026-107821 (CVSS 8.0), MariaDB’nin ikili .frm tablo tanım dosyalarını işleme biçimini kapsıyor. Bozuk bir dosya sunucuyu çökertebilir, sınır dışı erişime yol açabilir ve olası bir kod yürütme senaryosu yaratabilir. Saldırının FILE yetkisi ve esnek bir secure-file-priv ayarı gerektirdiği göz önüne alındığında, sıkı yapılandırılmış ortamlarda pratik risk puanın gösterdiğinden düşük.
CVE-2026-102523 (CVSS 8.0), ALTER TABLE ... CONVERT ... PARTITION işlemindeki bir ayrıcalık yükseltme açığı. Düşük veritabanı ayrıcalıklarına sahip bir saldırgan, izin kapsamı dışındaki tablolara erişebilir veya bunları değiştirebilir. Tetiklenmesi için kullanıcı etkileşimi gerekiyor; bu da tamamen özerk bir saldırı senaryosunun önünde bir engel oluşturuyor.
CVE-2026-107819 (CVSS 5.9) ise Connector/C’nin Sıfır Yapılandırmalı SSL özelliğini etkiliyor. Ortadaki adam saldırısı gerçekleştiren biri, sertifika geçerli ama ana bilgisayar adıyla eşleşmediğinde kimlik doğrulamayı düz metin moduna düşürebilir. Uygulama sunucunuz ile veritabanı sunucunuz güvenilir bir özel ağ üzerinden haberleşiyorsa aciliyet düşük; farklı bir ağ üzerindeyse Connector/C’yi 3.4.10 sürümüne güncelleyin.
Düzeltilmiş sunucu sürümleri: 10.6.28, 10.11.19, 11.4.13, 11.8.9, 12.3.3 ve 13.0.2. Mevcut sürümünüzü mariadbd --version komutuyla öğrenebilirsiniz. Güncelleme yaparken bulunduğunuz büyük sürüm dalında kalın — örneğin 10.11’den 11.x’e atlayış, tam bir dışa/içe aktarma gerektiren şema farklılıklarına neden olabilir.
Dovecot: Debian’da Dokuz CVE, RHEL’de Taze Bir Yüksek Seviye Açık
Dovecot’un yama döngüsü de oldukça yoğun geçti. Debian güvenlik ekibi ELA-1751-1 bildirimini yayımladı; bu bildiri, Buster’da gönderilen sürümde bulunan dokuz CVE’yi kapatıyor. Bunların büyük çoğunluğu hizmet reddi (DoS) senaryoları: aşırı IMAP parantezi, boyutu kontrol edilmeyen ManageSieve kimlik doğrulama literal’ları ve CPU’yu doyuran sınırsız RFC 2231 MIME parametreleri. Üretim ortamında can sıkıcı, bağlantı hızı sınırı uygulamadıysanız felakete davetiye çıkarıcı.
Daha dikkat çekici olan, aynı paketteki CVE-2026-33603. Özel hazırlanmış bir base64 verisi, SCRAM TLS kanal bağlamasını taklit edebiliyor; bu da aktif bir ortadaki adam saldırganının şifreli olması gereken bir kimlik doğrulama oturumunu dinlemesine olanak tanıyor. Uzaktan kimlik doğrulama gerektirmeyen bir saldırı değil, ama ağınız göründüğü kadar temiz değilse gerçek bir kimlik bilgisi sızıntısı riski. Düzeltilmiş Debian paketi: 1:2.3.4.1-5+deb10u9.
Red Hat tabanlı sistemler için RHSA-2026:42091, RHEL 9 üzerinde Dovecot’u etkileyen CVE-2026-42006‘yı (CVSS 7.5) kapsıyor. Açık, posta verilerine yetkisiz erişime ya da hizmet reddine yol açabilir. Bildiri, dovecot, dovecot-mysql ve dovecot-pigeonhole paketlerinin birlikte güncellenmesini öneriyor — yalnızca sunucu paketini güncellemek MySQL kimlik doğrulama eklentisini eski ve açık bırakabilir.
Mevcut sürümünüzü dovecot --version ile kontrol edebilirsiniz.
Kalfaoglu.net Müşterileri İçin Ne Anlama Geliyor?
Paylaşımlı hosting kullananlar için altta yatan yığın bizim tarafımızdan yönetiliyor, ek bir işlem gerekmiyor. VPS veya özel sunucunuzu kendiniz yönetiyorsanız güncelleme zamanı geldi.
Debian/Ubuntu üzerinde:
apt update && apt upgrade dovecot-core dovecot-imapd dovecot-pop3d
AlmaLinux/Rocky/RHEL üzerinde:
dnf update mariadb-server dovecot dovecot-mysql dovecot-pigeonhole
Bu güncellemelerin hiçbirinin uygulama değişikliği gerektirmesi beklenmiyor; ancak Dovecot yeniden başlatıldıktan sonra birkaç dakika günlükleri izlemek, beklenmedik kimlik doğrulama hatalarını erken yakalamanızı sağlar.
Hangi sürümlerin çalıştığından emin değilseniz, mariadbd --version ve dovecot --version iki saniyede yanıt verir. İlk adım bu; ikincisi yamayı uygulamak.