VMware, VCF Sistemlerindeki Kritik Brotli Güvenlik Açığı İçin Uyarı Yayınladı

VMware, Cloud Foundation (VCF) platformundaki SDDC Manager bileşenini etkileyen kritik bir Brotli güvenlik açığı hakkında uyarı yayınladı. CVE-2026-111497 koduyla tanımlanan açık, Brotli veri çözücüsündeki sınır dışı bellek yazma hatası nedeniyle uzaktan kod çalıştırma riski oluşturuyor. Broadcom, etkilenen sürümler için güvenlik yamalarının henüz yayınlanmadığını belirtirken sistem yöneticilerine geçici koruma önlemlerini incelemelerini öneriyor.

VMware SDDC Manager İçin Kritik Güvenlik Riski Ortaya Çıktı

Broadcom, 28 Ekim 2026 tarihinde VMSA-2026-0008 numaralı güvenlik duyurusunu yayınlayarak VMware Cloud Foundation bünyesindeki SDDC Manager bileşenini etkileyen açığı bildirdi. SDDC Manager, yazılım tanımlı veri merkezi altyapılarının merkezi yönetimini üstleniyor ve sistemin yaşam döngüsü işlemlerini otomatikleştirmek için Node.js çalışma ortamından yararlanıyor.

Güvenlik açığı, Brotli veri çözücüsünün ayrılmış bellek alanının dışına yazma yapabilmesine neden olan bir hatadan kaynaklanıyor. Ağ üzerinden SDDC Manager’a erişebilen kötü niyetli bir saldırgan, gerekli koşullar sağlandığında bu hatayı kullanarak hedef sistemde yetkisiz kod çalıştırabiliyor. Uzaktan kod çalıştırma (RCE) olarak bilinen saldırı türü, etkilenen altyapıların güvenliği açısından ciddi bir tehdit oluşturuyor.

Broadcom, açığın önem derecesini SDDC Manager sürümüne göre sınıflandırıyor. Sürüm 9.1.1.x için CVSS v3 taban puanı 9,8 olarak belirlenirken önceki sürümler için 7,5 puan bildiriliyor. Bu değerlendirmeye göre en yüksek risk seviyesi SDDC Manager 9.1.1.x sürümünü kapsıyor.

CVE-2026-111497 Hangi VMware Sürümlerini Etkiliyor?

Broadcom’un güvenlik duyurusu, VMware Cloud Foundation bünyesindeki SDDC Manager sürümlerini farklı önem dereceleriyle ele alıyor. Etkilenen sürümler ve ilgili destek kayıtları şu şekilde sıralanıyor:

• SDDC Manager 9.1.1: CVE-2026-111497 açığı, 9,8 CVSS v3 puanıyla kritik seviyede değerlendiriliyor. İlgili güvenlik düzeltmesi KB460732 numarasıyla takip ediliyor.
• SDDC Manager 9.0.x ve 9.1.0: Güvenlik açığı 7,5 CVSS v3 puanıyla önemli seviyede sınıflandırılıyor. İlgili destek kaydı KB460734 numarasını taşıyor.
• SDDC Manager 5.2.x: Bu sürüm ailesi de aynı güvenlik açığından etkileniyor ve 7,5 puanla önemli seviyede değerlendiriliyor. Broadcom’un ilgili destek kaydı KB460734 numarasıyla sunuluyor.

Broadcom’un duyurusuna göre etkilenen sürümler için güvenlik yamaları henüz yayınlanmadı. Sistem yöneticilerinin kullandıkları sürümü belirlemesi ve ilgili destek makalelerinde açıklanan risk azaltma adımlarını uygulaması gerekiyor.

Brotli, Google tarafından geliştirilen ve verileri kayıpsız biçimde sıkıştıran açık kaynaklı bir algoritma olarak kullanılıyor. Web teknolojilerinde yaygın biçimde kullanılan bu teknoloji, farklı yazılım ürünlerine kütüphaneler aracılığıyla entegre ediliyor. Bu nedenle Brotli bileşenindeki bir güvenlik hatası, yalnızca tek bir uygulamayı etkilemekle sınırlı kalmıyor.

CVE-2026-111497 açığı, daha önce Node.js çalışma ortamıyla ilişkilendirilen Node2Shell güvenlik sorunu kapsamında da gündeme geldi. Brotli çözücüsündeki bellek yazma hatası, kötü amaçlı sıkıştırılmış veriler işlendiğinde uzaktan kod çalıştırma saldırılarına zemin hazırlayabiliyor. Kaynakta Node.js 22, 24 ve 26 sürümlerinin söz konusu güvenlik sorunundan etkilendiği belirtiliyor.

Brotli kütüphanesinin farklı yazılım ortamlarında kullanılması, güvenlik ekiplerinin yalnızca Node.js kurulumlarını kontrol etmekle yetinmemesini gerektiriyor. Microsoft da daha önce .NET kütüphanelerindeki ilgili Brotli güvenlik sorununa karşı olağan güncelleme takviminin dışında güvenlik güncellemeleri yayınlamıştı.

VMware Yöneticileri Hangi Önlemleri Almalı?

Broadcom, kalıcı güvenlik düzeltmeleri yayınlanana kadar yöneticilerin ilgili destek makalelerinde yer alan risk azaltma talimatlarını izlemesini öneriyor. Yöneticilerin öncelikle kullandıkları SDDC Manager sürümünü belirlemesi, ardından KB460732 veya KB460734 numaralı destek kaydını incelemesi gerekiyor.

Ağ üzerinden erişilebilen yönetim bileşenleri, uzaktan kod çalıştırma açıklarında özel önem taşıyor. Bu nedenle sistem yöneticilerinin SDDC Manager erişimini güvenilir ağlarla sınırlandırması ve Broadcom tarafından belirtilen geçici koruma adımlarını değerlendirmesi önem taşıyor. Uygulanacak teknik işlemlerde ilgili destek makalelerindeki talimatlar esas alınmalı.

VMware Brotli güvenlik açığı, aynı kütüphaneyi kullanan yazılım bileşenlerinin de güvenlik açısından değerlendirilmesi gerektiğini gösteriyor. Kalıcı koruma için yöneticilerin Broadcom’un güvenlik duyurularını takip etmesi ve ilgili yamalar yayınlandığında etkilenen sistemleri üreticinin yönergelerine uygun şekilde güncellemesi gerekiyor.