MailEnable'da Kimlik Doğrulama Olmadan Dosya Oluşturma Açığı

MailEnable posta sunucusunda ortaya çıkan bir yeni güvenlik açığı, uzak saldırganların kimlik doğrulama gerektirmeksizin keyfi dosyalar oluşturmasına olanak tanıyor.

Zero Day Initiative tarafından ZDI-26-869 olarak kayıtlı bu açık, Save Directory işlevinde yol geçişi (directory traversal) zafiyetinden kaynaklanıyor. Saldırgan, bu kusuru kullanarak sistem üzerinde istediği konuma ve adla dosya yazabilir. CVE-2026-114556 olarak da tanımlanan açık, CVSS puanı 7.4 ile orta-yüksek seviyede tehdit oluşturuyor.

MailEnable'ı barındıran sistemlerde bu açık özellikle kritik. Saldırgan, yapılandırma dosyaları, komut dosyaları veya kötü amaçlı içerik yükleyerek sunucu üzerinde kontrol sağlayabilir. Açığın kimlik doğrulama gerektirmemesi, herkesin internet üzerinden hedef sisteme erişebileceği anlamına geliyor.

MailEnable kullanan kuruluşlar, yazılım sağlayıcısının güvenlik güncellemesini takip etmeli ve en kısa sürede yüklemelidir. Geçici olarak, Save Directory özelliğine erişimi kısıtlamak veya ağ seviyesinde filtreleme uygulamak riski azaltabilir. Sistemlerde şüpheli dosya oluşturma faaliyetleri için denetim günlükleri incelenmesi de önerilir.