Sitecore Experience Platform (XP) içerik yönetim sisteminde keşfedilen kritik güvenlik açıkları, saldırganlara kimlik doğrulaması olmadan sunucuları ele geçirme imkânı tanıyor. Güvenlik araştırmacıları, saldırı zincirinin yalnızca bir harf uzunluğundaki şifre ile başladığını açıkladı.
Hardcoded Şifreleme Yöntemiyle İlk Güvenlik Açığı Ortaya Çıktı
watchTowr araştırmacılarının tespit ettiği saldırı zinciri, Sitecore’un sistemde varsayılan olarak yer alan “sitecore\ServicesAPI” adlı bir kullanıcıya dayanıyor. Bu kullanıcının şifresi yalnızca “b” harfinden oluşuyor. Söz konusu kullanıcı yönetici yetkisine sahip olmasa da, Sitecore’un /sitecore/admin yolu üzerinden yapılan alternatif kimlik doğrulama kontrolünü geçerek sisteme giriş yapılabiliyor. Bu durum, saldırganlara “.AspNet.Cookies” oturum bilgisi sağlayarak IIS tarafından korunan, ancak Sitecore’un rol tabanlı kontrolüne tabi olmayan iç uç noktalara erişim veriyor.
İlk erişimin ardından saldırganlar, Sitecore’un dosya yükleme sihirbazındaki Zip Slip güvenlik açığını kullanarak sistemi daha da derinlemesine istismar edebiliyor. ZIP dosyası içerisine yerleştirilen özel bir yol (örneğin /../webshell.aspx) sayesinde saldırganlar, yeterli yol denetimi yapılmadığı için sistemin web dizinine keyfi dosyalar yükleyebiliyor. Bu da kötü amaçlı web kabuklarının yüklenerek sunucu üzerinde komut çalıştırma yolunu açıyor.
Üçüncü açık ise Sitecore PowerShell Extensions (SPE) modülünün kurulu olması durumunda ortaya çıkıyor. Bu modül, SXA gibi Sitecore eklentileriyle birlikte sıkça kullanılıyor. Açık sayesinde saldırganlar, dosya uzantısı veya konum kısıtlamalarına takılmadan istedikleri dosyayı hedefledikleri yere yükleyebiliyor. Bu da saldırının başarısını daha da kolaylaştırıyor.
Sitecore XP 10.1 ile 10.4 sürümlerini etkileyen bu açıklar hâlen birçok sistemde aktif durumda. Mayıs 2025’te yayınlanan yamalarla güvenlik açıkları kapatıldı ancak teknik ayrıntılar 17 Haziran 2025’e kadar açıklanmadı. watchTowr’un verilerine göre dünya genelinde 22.000’in üzerinde Sitecore örneği herkese açık durumda bulunuyor. Bunların bir kısmı doğrudan saldırıya açık hâlde olabilir.
Bankalardan havayollarına kadar geniş bir kullanıcı kitlesi bulunan Sitecore’un bu açıkları, büyük ölçekli veri sızıntılarına ve sistem ihlallerine yol açabilecek düzeyde. watchTowr CEO’su Benjamin Harris, “Bu zincir tamamen çalışıyor. Sitecore kullanıyorsanız durum ciddî. Hemen şifrelerinizi değiştirin ve sisteminizi güncelleyin” uyarısında bulundu. Şu ana kadar açıkların gerçek saldırılarda kullanıldığına dair resmî bir kanıt olmasa da yayımlanan teknik blogda yer alan bilgilerle çalışan bir saldırı geliştirmek mümkün hâle geldi.
Sitecore Kullanıcıları Güvende Kalmak için Ne Yapmalı?
- Sistem sürümünüzü kontrol edin: 10.1 ile 10.4 arasındaki sürümler risk altında.
- Güncellemeleri hemen uygulayın: Mayıs 2025’te yayımlanan yamalar tüm açıkları kapatıyor.
- Varsayılan kullanıcı bilgilerini değiştirin: “b” gibi basit şifreleri derhâl kaldırın.
- Web kök dizinine yüklenebilecek içerikleri sınırlandırın.
- SPE gibi eklentileri kullanıyorsanız yapılandırmalarını gözden geçirin.
Haberin yazıldığı an itibarıyla, gerçek dünyada herhangi bir istismarın olduğuna dair kamuya açık bir kanıt bulunmuyor. Ancak WatchTowr’ın teknik blogu, tam olarak çalışan bir istismar oluşturmak için yeterli ayrıntı içeriyor. Bu nedenle, açığın gerçek dünyada kötüye kullanım riski oldukça yakın olarak değerlendiriliyor.
