CISA Danışma Belgesi: ZoneMinder'da OS Komut Enjeksiyonu Güvenlik Açığı (CVE-2026-76060)

CISA, 25 Ağustos 2026'da, açık kaynaklı bir video gözetim yazılımı olan ZoneMinder'da yüksek önem dereceli bir güvenlik açığını (CVE-2026-76060) detaylandıran bir siber güvenlik danışma belgesi yayınladı. Güvenlik açığı, olay dışa aktarma işlevindeki kimliği doğrulanmış bir işletim sistemi komut enjeksiyonudur; 'exportFile' HTTP parametresi, PHP'nin exec() işlevi aracılığıyla yürütülen bir kabuk komutuna temizlenmeden iletilir. 'View Events' iznine sahip kimliği doğrulanmış bir kullanıcı, sunucuda rastgele işletim sistemi komutları yürütebilir ve bu da web sunucusu kullanıcısı olarak tam uzaktan kod yürütülmesine yol açabilir. Etkilenen sürümler ZoneMinder 1.37.48 ve 1.38.3'tür. CVSS v3.1'e göre temel puan 8.8 (Yüksek) ve v4.0'a göre 8.7'dir. CISA, 'Scriptkittens' tarafından yazılmış genel bir kanıt konsepti keşfetti ve bunu ZoneMinder'a bildirdi. Satıcı, 1.38.3 veya sonraki bir sürüme yükseltmeyi öneriyor. Şu anda CISA'ya bilinen herhangi bir genel istismar bildirilmemiştir. CISA, kullanıcılara ağ maruziyetini en aza indirmelerini, güvenlik duvarları kullanmalarını ve satıcı yamalarını uygulamalarını tavsiye ediyor.