---
title: "Yamalanmamış Kaltura mwEmbed Açıkları Saldırganlara Dosya Okuma ve Kod Çalıştırma İmkanı Tanıyor"
url: "https://teknotayf.com/haber/yamalanmamis-kaltura-mwembed-aciklari-saldirganlara-dosya-okuma-ve-kod-calistirma-imkani-taniyor"
markdown_url: "https://teknotayf.com/haber/yamalanmamis-kaltura-mwembed-aciklari-saldirganlara-dosya-okuma-ve-kod-calistirma-imkani-taniyor.md"
site: "teknotayf.com"
language: "tr"
published: "2026-08-26 16:10:15"
updated: "2026-08-26 13:10:15"
category: "Siber Güvenlik"
tags: ["Siber Güvenlik","Web Güvenliği","Kaltura Güvenlik Açığı","CERT/CC"]
source: "The Hacker News"
---

# Yamalanmamış Kaltura mwEmbed Açıkları Saldırganlara Dosya Okuma ve Kod Çalıştırma İmkanı Tanıyor

> **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/yamalanmamis-kaltura-mwembed-aciklari-saldirganlara-dosya-okuma-ve-kod-calistirma-imkani-taniyor  
> Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır.

**Özet:** CERT/CC, Kaltura'nın HTML5 video oynatıcı kütüphanesinde yamalanmamış iki kritik güvenlik açığı tespit etti. Kimlik doğrulama gerektirmeyen bu açıklar, uzaktan saldırganların sunucularda dosya okumasına ve kod çalıştırmasına olanak tanıyor.

- **Yayın tarihi:** 2026-08-26 16:10
- **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik)
- **Etiketler:** Siber Güvenlik, Web Güvenliği, Kaltura Güvenlik Açığı, CERT/CC
- **Yazan:** TeknoTayf.com
- **Kaynak:** [The Hacker News](https://thehackernews.com/2026/08/unpatched-kaltura-mwembed-flaws-could.html)

![Yamalanmamış Kaltura mwEmbed Açıkları Saldırganlara Dosya Okuma ve Kod Çalıştırma İmkanı Tanıyor](https://teknotayf.com/assets/uploads/2026/08/755dad10ba7817dbc1a2cd5d6459253b.jpg)

CERT Koordinasyon Merkezi (CERT/CC), Kaltura'nın HTML5 video oynatıcı kütüphanesinde bulunan ve yamalanmamış iki güvenlik açığını duyurdu. Bu açıklar, uzaktan ve kimlik doğrulama gerektirmeden bağlanan saldırganların sunucudaki rastgele dosyaları okumasına ve üzerinde kod çalıştırmasına olanak tanıyor.

**CVE-2026-19913** ve **CVE-2026-19912** kodlarıyla takip edilen bu iki hata, Kaltura'nun html5lib adıyla da dağıttığı mwEmbed oynatıcı kütüphanesindeki `mwEmbedLoader.php` uç noktasında bulunan aynı güvensiz serileştirme sorunundan kaynaklanıyor.

CERT/CC'nin belirttiğine göre, bu açıkların sömürülmesi için herhangi bir kimlik doğrulama veya Kaltura oturum belirtecine gerek yok. Saldırganların sadece söz konusu uç noktaya ağ erişimine sahip olması yeterli.

Henüz kullanıma sunulmuş bir yama bulunmuyor. CERT/CC, bu güvenlik açıklarını koordine etmek için Kaltura ile iletişime geçemediklerini belirtti. Kurum, sistem yöneticilerinin söz konusu uç noktaya yönelik harici erişimi kısıtlamasını veya tamamen kapatmasını ve yalnızca geçerli arka uç API URL'lerine izin veren katı bir izin listesiyle `ServiceUrl` parametresini güvence altına almasını tavsiye ediyor.

Haber hazırlandığı sırada bu açıkların aktif olarak sömürüldüğüne dair herhangi bir rapor bulunmuyor. Ayrıca, 25 Ağustos 2026 itibarıyla bu iki CVE kodu da ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı'nın (CISA) Bilinen Sömürülen Güvenlik Açıkları (KEV) kataloğunda yer almıyor.

CERT/CC, Kaltura'yı video yönetimi, yayınlama, oynatma ve web uygulamalarıyla entegrasyon araçları sunan bir video platformu olarak tanımlıyor. Güvenlik açığı barındıran yükleyici, hem müşteri kurulumlarında hem de Kaltura'nun kendi paylaşımlı üretim sunucularında erişime açık durumda.

CERT/CC, güvenlik açığı notunda konuyla ilgili şu ifadeleri kullandı: "Etkilenen uç nokta aynı zamanda Kaltura'nın paylaşımlı, çok kiracılı CDN altyapısında da erişime açık olduğu için, bu güvenlik açıkları yalnızca bireysel müşteri kurulumlarını değil, aynı zamanda bu paylaşımlı sunucular tarafından hizmet verilen tüm kiracıları da etkiliyor."

Dosya okuma sorunu olan **CVE-2026-19913**, `mwEmbedLoader.php` dosyasının kabul ettiği ve arka uç API istekleri için hedef URL olarak kullandığı `ServiceUrl` parametresiyle başlıyor. `KalturaClientBase` PHP istemcisi, bu URL'nin döndürdüğü her türlü veriyi çekiyor ve kaynağı, şemayı veya içeriği doğrulamadan PHP'nin `unserialize()` fonksiyonuna iletiyor.

Saldırganın bir `file://` yolu girmesi, sunucunun bir API yanıtı yerine yerel bir dosyayı çekmesine neden oluyor. Serileştirme girişimi bu aşamada başarısız oluyor. Çekilen dosyanın ham baytları, ortaya çıkan hata mesajının içinde istekte bulunan kişiye geri yansıtılıyor.

---

**Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/yamalanmamis-kaltura-mwembed-aciklari-saldirganlara-dosya-okuma-ve-kod-calistirma-imkani-taniyor  
Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.