Zoho ManageEngine'de Kritik SSO Açığı Tespit Edildi

Alman teknoloji yayını heise online'ın bildirdiğine göre, Zoho Corp. bünyesinde faaliyet gösteren ManageEngine'in kurumsal yönetim yazılımlarında kritik düzeyde bir güvenlik açığı keşfedildi. CVE-2026-11374 koduyla kayıtlara geçen ve CVSS 9.0 puanıyla "kritik" kategorisinde değerlendirilen açık, tahmin edilebilir Tek Oturum Açma (SSO) oturum biletleri üzerinden saldırganların hedef sistemlerdeki hesapları ele geçirmesine olanak tanıyor. Söz konusu zafiyet, özellikle kurumsal kimlik yönetimi süreçlerini ManageEngine çözümleri üzerinden yürüten şirketler için ciddi bir risk oluşturuyor.

Etkilenen Ürünler ve Saldırı Yüzeyi

Açığın etki alanı ManageEngine'in dört popüler ürününü kapsıyor:

• ADSelfService Plus – Parola sıfırlama ve self servis kimlik yönetimi çözümü
• RecoveryManager Plus – Active Directory yedekleme ve kurtarma platformu
• M365 Manager Plus – Microsoft 365 yönetim ve raporlama aracı
• ADAudit Plus – Active Directory denetim ve uyumluluk çözümü

Bu ürünlerin tamamı, kurumsal ağlarda merkezi kimlik doğrulama altyapısının temel bileşenleri olarak kullanılıyor. SSO mimarisinde oturum biletlerinin öngörülebilir yapıda üretilmesi, saldırganların brute-force veya token tahmini yöntemleriyle yetkili kullanıcıların oturumlarını taklit edebilmesine zemin hazırlıyor. Bu durum, Active Directory ortamlarında yatay hareketlilik ve ayrıcalık yükseltme saldırıları için doğrudan bir kapı aralıyor.

Teknik Detaylar ve Risk Değerlendirmesi

CVSS 9.0 puanı, açığın hem yaygınlık hem de sömürülebilirlik açısından en üst seviye tehdit sınıfında yer aldığını gösteriyor. Zafiyetin temelinde, SSO oturum biletlerinin oluşturulmasında kullanılan rastgelelik mekanizmasının yetersizliği yatıyor. Saldırgan, yeterli düzeyde kaynak ve hesaplama kapasitesine sahip olduğunda, geçerli bir oturum biletini tahmin ederek kimlik doğrulama katmanını atlayabiliyor. Başarılı bir sömürü sonrasında saldırgan, hedef kullanıcının tüm yetkileriyle sisteme erişim sağlayabiliyor; bu da özellikle yönetici hesapları için felaket senaryoları anlamına geliyor.

Zoho'nun Müdahalesi ve Yayınlanan Yamalar

Zoho Corp., açığın kendilerine bildirilmesinin ardından hızlı bir şekilde hareket geçerek etkilenen tüm ürünler için Service Pack güncellemelerini yayınladı. Şirket, kullanıcılarına mümkün olan en kısa sürede güncellemeleri uygulamalarını, sistemlerini en son yamalı sürüme yükseltmelerini ve acil durum planlarını devreye almalarını tavsiye ediyor. Zoho'nun resmi güvenlik bülteninde, açığın sömürülmesine dair aktif bir kanıt olup olmadığına ilişkin detaylı teknik bilgilerin de paylaşıldığı belirtiliyor.

Kurumlara Öneriler ve Alınması Gereken Önlemler

Siber güvenlik uzmanları, ManageEngine ürünlerini kullanan kurumların aşağıdaki adımları ivedilikle uygulamasını öneriyor:

• Etkilenen dört ürünün tamamında en güncel Service Pack sürümüne geçiş yapılması
• SSO altyapısına ek olarak çok faktörlü kimlik doğrulama (MFA) katmanının etkinleştirilmesi
• Yönetici ve ayrıcalıklı hesaplara yönelik anomali tabanlı oturum izleme sistemlerinin devreye alınması
• Active Directory ortamlarında ayrıcalıklı erişim yönetimi (PAM) kontrollerinin sıkılaştırılması
• Son 30 gün içerisindeki SSO oturum kayıtlarının adli bilişim perspektifiyle incelenmesi

SSO Güvenliğinde Kurumsal Farkındalık

Yaşanan bu olay, kurumsal dünyada giderek yaygınlaşan Tek Oturum Açma çözümlerinin güvenlik mimarisinde ne denli kritik bir rol oynadığını bir kez daha gözler önüne seriyor. SSO sistemleri, kullanıcı deneyimini kolaylaştırırken tek bir zafiyetin tüm kurumsal kimlik altyapısını tehlikeye atabileceği anlamına geliyor. Bu nedenle uzmanlar, SSO sağlayıcılarının güvenlik güncellemelerinin düzenli olarak takip edilmesini, sıfır güven (Zero Trust) mimari ilkelerinin benimsenmesini ve kimlik doğrulama süreçlerinin sürekli olarak denetlenmesini kurumsal siber güvenlik stratejisinin temel taşları arasında konumlandırıyor.