Teknoloji ve güvenlik · · 7 dk. okuma · Yazar: Alexander
Plesk Site Import: CVE-2026-107246 – ne yapmalısınız?
10.11.2026 itibarıyla: Plesk Site Import içindeki CVE-2026-107246 güvenlik açığı, yabancı program kodunun root yetkileriyle, yani hosting sunucusunda kapsamlı yetkilerle çalıştırılmasına imkân verebilir. 1.13.1 dahil olmak üzere bu sürüme kadarki eklenti sürümleri etkilenmektedir. Plesk, 1.13.2 veya daha yeni bir sürüme güncelleme yapılmasını öneriyor. Site Import uygulamasının web sitenizin bulunduğu sunucuda kurulu olup olmadığını ve hangi sürümün kullanıldığını kısa süre içinde kontrol ettirin. Shared Hosting müşterisiyseniz bu kontrolü hosting sağlayıcınızdan isteyin.
Plesk Site Import ile ilgili ne oldu?
Plesk, Site Import eklentisindeki bir güvenlik açığı konusunda uyarıyor. Alan adı ve oturum tanımlayıcıları yeterince kontrol edilmiyor. Bu nedenle Path Traversal olarak adlandırılan durum mümkün hale geliyor: yüksek yetkilere sahip dahili bir oturum, saldırganın kontrolündeki bir dizine yönlendirilebiliyor. CVE açıklamasına göre bu durum, kodun root olarak çalıştırılmasına yol açabilir.
Bu güvenlik açığı WordPress, Joomla, Shopware veya TYPO3 içinde değildir. Hosting sunucusundaki Plesk eklentisini etkiler. Saldırganlar bu sunucuyu başarıyla ele geçirirse sunucuda barındırılan web siteleri dolaylı olarak etkilenebilir. Plesk, burada barındırılan tüm Subscriptions, yani hosting abonelikleri üzerinde olası etkiler konusunda uyarıyor. Bu nedenle, kendisi hiç içe aktarma başlatmamış web sitesi işletmecileri de durumu sormalıdır.
CVE-2026-107246 gerçekte ne kadar tehlikeli?
Resmî CVE kaydındaki güvenlik değerlendirmesi CVSS v4.0: 9,2 – kritik şeklindedir. Root yetkileriyle kod çalıştırma ihtimali, hızlı bir kontrol ve güncelleme gerektirir. Ancak bu değerlendirme, sunucunuza girildiğini kanıtlamaz.
Saldırı için gereken koşullar konusunda çözülmemiş bir tutarsızlık bulunuyor: açıklamada sahip rolü olmayan bir Subscription kullanıcısından söz edilirken Plesk, yönetici yetkileri olmayan bir kullanıcıdan söz ediyor. Aynı zamanda CVSS vektörü PR:N değerini içeriyor. Değerlendirme standardına göre bu, genel olarak saldırıdan önce oturum açmanın gerekli olmadığı anlamına gelir. Bu durum, yönetici yetkilerinin bulunmamasıyla aynı şey değildir. Kaynaklar bu çelişkiyi çözmüyor. Dolayısıyla ne anonim bir saldırı yolu ne de zorunlu oturum açma şartı yeterli ölçüde doğrulanmıştır. AT:P tanımlayıcısının hangi somut saldırı koşullarını ifade ettiği de belirsizliğini koruyor.
10.11.2026 tarihindeki araştırma durumuna göre aktif istismar, gözlemlenmiş saldırı girişimleri ve teknik uygulanabilirlik kanıtı olarak herkese açık bir PoC doğrulanmamıştır. Tanımlayıcı, 09.11.2026 tarihli incelenen CISA KEV kataloğunda bulunmamaktadır; daha sonra eklenmesi ihtimal dışı değildir. Bu kanıtların bulunmaması tehlikenin geçtiği anlamına gelmez ve saldırı olmadığını kanıtlamaz. Bu nedenle sürüm kontrolü için bir saldırı bildirimini beklemeyin.
Hangi sürümler etkileniyor ve hangi güncelleme yardımcı olur?
1.13.1 dahil olmak üzere bu sürüme kadarki Site Import sürümleri etkilenmektedir. Üreticinin değişiklik günlüğüne göre düzeltilmiş 1.13.2 sürümü 04.11.2026 tarihinde yayımlandı. Üretici güvenlik duyurusu 09.11.2026 tarihinde güncellendi; resmî CVE kaydı 10.11.2026 tarihinde yayımlandı. Plesk, 1.13.2 veya daha yeni bir sürüm öneriyor. Bu sürüm sınırı, yalnızca bu belirli güvenlik açığının giderildiğini ifade eder ve sunucu için genel bir güvenlik garantisi değildir.
Belirleyici olan eklentinin sürümüdür. Yalnızca Plesk panelinin güncel olması, eklentinin yama durumunu doğrulamaz. Ürün kataloğu, Site Import 1.13.2 için Plesk 18.0.60 sürümünü ön koşul olarak belirtir. Bu nedenle güncelleme sorunlarında yöneticiden uyumluluğu da kontrol etmesini isteyin.
İncelenen üretici ve CVE bilgilerinde bu CVE için Linux ile Windows arasında açık bir ayrım yapılmamıştır. Özellikle root teriminden Windows için doğrulanmış bir güvence sonucu çıkarılamaz.
Hosting hizmetimin etkilenip etkilenmediğini nasıl kontrol ederim?
Yönetici yetkileri olmayan bir Shared Hosting müşteri hesabıyla, sunucu genelindeki eklentiye yamayı kendiniz uygulayamazsınız. Eklenti yönetimi Plesk yöneticilerine ayrılmıştır. Bu erişime sahip değilseniz aşağıdaki talebi hosting sağlayıcınıza gönderin. Otomatik güncellemelerin etkin olması da gerçekte kurulu sürümün kontrol edilmesinin yerini tutmaz.
Yöneticiler için Linux Plesk CLI referansında envanter çıkarmaya yönelik `plesk bin extension --list` komutu belgelenmiştir. Yönetim kılavuzu bunun için tanımlayıcıları ve adları gösterir, ancak sürüm çıktısı göstermez. Araştırma sırasında kurulu Site Import sürümünü sorgulamak için doğrudan belgelenmiş bir CLI komutu bulunamadı. Bunun için yönetim arayüzünü kullanın:
- Yönetici olarak Extensions → My Extensions → Site Import yolunu açın ve gösterilen sürümü kontrol edin.
- Sürüm 1.13.1 veya daha eskiyse: Extensions → Update/Updates yolunu açın, Check Now ile güncellemeleri arayın, Site Import seçeneğini belirleyin ve Update işlemini çalıştırın.
- Ardından Extensions → My Extensions → Site Import yolunu yeniden açın. Gerçekte 1.13.2 veya daha yeni bir sürümün kurulu olup olmadığını kontrol edin ve sürüm ile kontrol zamanını kaydedin.
Hosting sağlayıcıma ne yazmalıyım?
Bu talebi hosting desteğine gönderin ve yer tutucuları değiştirin. Web sitesi desteğiniz iletişimi üstleniyorsa sunucu işletmecisinin somut yanıtının size iletilmesini isteyin.
Konu: Plesk Site Import / CVE-2026-107246 kontrolü. Merhaba, lütfen [DOMAINS] alan adlarımın bulunduğu hosting sunucusunu, müşteri numarası [NUMMER], CVE-2026-107246 açısından kontrol edin. Site Import kurulu ve etkin mi? Şu anda hangi eklenti sürümü kurulu? Lütfen gerçek yama durumunu ve Plesk tarafından önerilen 1.13.2 veya daha yeni sürüme güncellemenin ne zaman yapıldığını doğrulayın. Sunucuyu şüpheli etkinlik veya olası bir ihlal açısından kontrol ettiniz mi? Kontrol hangi dönemi kapsıyor ve bunun sonucunda web sitelerim veya erişim bilgilerim için yapmam gereken bir işlem var mı? Güncelleme henüz yapılmadıysa lütfen kesin bir güncelleme tarihi ve bu sürede alınan önlemleri bildirin. Teşekkür ederim.
Bu talep, daha önce bir ihlal gerçekleştiğini varsaymaz. Amaç, alan adlarınız için geçerli durumu ve başka önlemlerin gerekli olup olmadığını açıklığa kavuşturmaktır. Genel bir yanıt alırsanız gerçekte kurulu olan eklenti sürümünü ayrıca sorun.
Güncelleme hemen yapılamıyorsa ne yapmalıyım?
Plesk çözüm olarak güncellemeyi belirtiyor. Güvenlik duyurusunda resmî bir alternatif önlem belgelenmemiştir. Hosting sağlayıcısından güncellemeyi engelleyen nedeni açıklamasını ve kesin bir tarih vermesini isteyin.
Eklentiye ihtiyaç yoksa yönetici, olası bir risk azaltma önlemi olarak eklentiyi devre dışı bırakmayı veya kaldırmayı değerlendirebilir: Extensions → My Extensions → Site Import → Disable veya Remove. Bu yönetim işlevleri belgelenmiştir. Ancak CVE-2026-107246 için tam bir yama alternatifi olarak etkili oldukları doğrulanmamıştır. Bu nedenle bu işlemi güvenlik açığının kanıtlanmış şekilde giderilmesi olarak değerlendirmeyin.
Hosting sağlayıcısından bu sürede alınan önlemleri somut olarak açıklamasını isteyin. Güncellemeden sonra gerçekte kurulu olan eklenti sürümünü doğrulatın. Hedef, 1.13.2 veya daha yeni bir sürümün doğrulanmasıdır.
Plesk Site Import ve CVE-2026-107246 hakkında sık sorulan sorular
WordPress ve eklentiler güncel – bu yeterli mi?
Hayır. Bu güvenlik açığı Plesk Site Import eklentisini etkiler. Güncel WordPress ve eklenti sürümleri, bunun yama durumunu doğrulamaz. Hosting sağlayıcınızdan ayrıca eklenti sürümünü kontrol etmesini isteyin. Hosting sunucusu ele geçirilirse WordPress web siteniz de dolaylı olarak etkilenebilir.
Cloudflare – güvende miyim?
Mevcut araştırma, Cloudflare hizmetinin bu belirli güvenlik açığına karşı koruma sağladığını kanıtlamıyor. Buradan bir koruma garantisi çıkarılamaz. Cloudflare kullanıyor olsanız da sunucu işletmecisinden Site Import 1.13.2 veya daha yeni sürüm için doğrulama isteyin.
Statik web sitesi – bu beni etkiler mi?
Statik bir web sitesi de hosting sunucusu Site Import üzerinden ele geçirilirse dolaylı olarak etkilenebilir. Burada belirleyici olan, sunucudaki etkilenen eklentidir. Web siteniz WordPress gibi bir CMS kullanmasa bile eklentinin kurulum ve sürüm durumunu kontrol ettirin.
Bir ihlali nasıl fark ederim?
İncelenen yayınlarda bir ihlali tespit etmeye yönelik, bu CVE için özel resmî göstergeler bulunamadı. Belirli dosya adları veya günlük imzaları üzerinden güvenilir bir kişisel kontrol yöntemi bunlardan çıkarılamaz. Hosting sağlayıcınızdan şüpheli etkinlik kontrolü yapmasını, incelenen dönemi ve gerekirse web siteleriniz veya erişim bilgileriniz için gereken adımları bildirmesini isteyin.
Plesk yönetici erişimine ihtiyacım var mı?
Eklentinin sunucu genelinde yönetilmesi ve güncellenmesi için yönetici yetkileri gerekir. Bu yetkilere sahip olmayan bir Shared Hosting müşterisi olarak yamayı kendiniz kuramazsınız. Bunun için yönetici erişimi edinmeniz gerekmez: kontrolü hosting sağlayıcınıza yaptırın ve sonucu doğrulatın.
Site Import otomatik olarak kurulur mu?
Genel bir varsayılan kurulum doğrulanmamıştır. İçe aktarma kılavuzu, kullanımdan önce eklentinin kurulu olduğundan emin olunmasını ister. Eklentinin yalnızca gerçekten kullanıldığında kurulduğu da kanıtlanmış değildir. Bu nedenle hiç içe aktarma yapmamış olmanız envanter kontrolünün yerini tutmaz.