SonicWall, Kullanım Ömrü Dolan GMS Sistemlerindeki Güvenlik Açıklarını Yamalamayacak

SonicWall, kullanım ömrünü tamamlamış Global Management System (GMS) ürününde tespit edilen iki güvenlik açığı için güncelleme yayımlamayacağını açıkladı. GMS 9.5.2 ve daha eski sürümleri etkileyen bu açıklar, ağ erişimi olan saldırganlara iç dosyaları okuma ya da veritabanı kayıtlarını değiştirme imkânı tanıyabilir.

İki Farklı Açık, İki Farklı Risk Düzeyi​

Açıklanan güvenlik zafiyetlerinden ilki, CVE-2026-109593 tanımlayıcısını taşıyor ve CVSS puanı 9.1 olarak belirlendi. Bu açık, kimlik doğrulaması gerektirmeyen bir dosya okuma zafiyeti niteliğinde; ağ erişimine sahip bir saldırganın GMS'nin iç dosyalarını okuyarak hassas bilgilere ulaşmasına olanak tanıyabiliyor. İkinci zafiyet ise CVE-2026-109594 olarak kayıtlara geçti ve CVSS puanı 6.8 ile daha düşük bir kritiklik seviyesinde değerlendirildi. Bu açık, kimlik doğrulamasından geçmiş bir saldırganın belirli koşullar altında GMS veritabanındaki bilgilere erişmesine ya da bu bilgileri değiştirmesine imkân tanıyan bir SQL enjeksiyon zafiyeti olarak tanımlandı.

SonicWall'dan Resmi Açıklama: Yama Gelmeyecek​

SonicWall, Salı günü yayımladığı güvenlik duyurusunda etkilenen ürünün kullanım ömrünü tamamladığını vurgulayarak bu açıklar için herhangi bir düzeltme ya da güvenlik güncellemesi yayımlanmayacağını net biçimde ifade etti. Şirket, söz konusu ürünü kullanan kuruluşları ilgili güvenlik riskleri konusunda uyarırken SonicWall Network Security Manager (NSM) platformuna geçiş yapmalarını da güçlü biçimde tavsiye etti.

Yakın Zamanda Aktif Sömürüye Konu Olan Başka Bir Açık​

Bu duyuru, SonicWall'ın CVE-2026-102255 için düzeltme yayımlamasının üzerinden bir aydan kısa bir süre geçmesinin ardından geldi. CVSS puanı 10.0 olan bu kritik açık, kimlik doğrulaması gerektirmeyen bir sunucu taraflı istek sahteciliği (SSRF) zafiyeti olarak sınıflandırıldı ve saldırganların iç işlevlere erişip yetkisiz işlemler gerçekleştirmesine zemin hazırlayabilecek nitelikte değerlendirildi. Previdian'ın telemetri verilerine göre bu açık, 9 Ekim 2026'dan itibaren aktif olarak istismar edilmeye başlandı. Söz konusu tarihten bu yana Singapur ve ABD kaynaklı sekiz farklı IP adresinden 2.541 saldırı girişimi kayıt altına alındı. Yalnızca 3 Kasım 2026 tarihinde 30 istismar girişimi gerçekleştirildiği bildirildi.

Kullanıcılara Tavsiye​

SonicWall, GMS 9.5.2 ve önceki sürümlerini kullanan kuruluşlara yamanın gelmeyeceğini hatırlatarak NSM platformuna geçişi öneriyor. Kullanım ömrü dolan sistemlerde kalmak, her iki güvenlik açığından kaynaklanan riskleri beraberinde getirmeye devam edecek.

Sıkça Sorulan Sorular​

SonicWall GMS'deki güvenlik açıkları hangi sürümleri etkiliyor?​

Açıklanan her iki güvenlik zafiyeti de SonicWall GMS 9.5.2 ve daha eski sürümlerini etkiliyor.

CVE-2026-109593 açığı ne tür bir saldırıya imkân tanıyor?​

CVE-2026-109593, kimlik doğrulaması gerektirmeyen bir dosya okuma açığı. Ağ erişimine sahip bir saldırgan bu açığı kullanarak GMS'nin iç dosyalarını okuyabilir ve hassas bilgilere ulaşabilir. CVSS puanı 9.1 olarak belirlendi.

CVE-2026-109594 açığı nasıl çalışıyor?​

CVE-2026-109594, kimlik doğrulamasından geçmiş bir saldırganın belirli koşullar altında GMS veritabanındaki bilgilere erişmesine ya da bu bilgileri değiştirmesine olanak tanıyan bir SQL enjeksiyon zafiyeti. CVSS puanı 6.8 olarak belirlendi.

SonicWall bu açıklar için neden yama yayımlamıyor?​

SonicWall, etkilenen GMS ürününün kullanım ömrünü tamamladığını belirterek bu nedenle herhangi bir düzeltme veya güvenlik güncellemesi yayımlanmayacağını açıkladı.

SonicWall, etkilenen sistemleri kullanan kuruluşlara ne tavsiye ediyor?​

SonicWall, GMS 9.5.2 ve önceki sürümlerini kullanan kuruluşlara güvenlik risklerinin farkında olmalarını hatırlatarak SonicWall Network Security Manager (NSM) platformuna geçmelerini güçlü biçimde tavsiye ediyor.