Plesk Panel'de İki Kritik Güvenlik Açığı! - Root RCE - CVSS 9.4

Plesk Linux'ta, root yetkisiyle keyfi kod çalıştırılmasına yol açabilen iki güvenlik açığı duyuruldu:

• CVE-2026-87898 (CVSS 9.4): Site Import extension'daki command injection açığı, düşük yetkili bir kullanıcının root olarak keyfi kod çalıştırmasına olanak sağlıyor.

• CVE-2026-68492 (CVSS 8.7): Plesk RESTful API extension'daki açık, kimliği doğrulanmış uzak kullanıcıların root olarak keyfi kod çalıştırmasına imkan sağlıyor.

Her iki güvenlik açığıda Plesk'in linux kurulumlarını etkiliyor. Linux üzerinde Plesk kullanıyorsanız mutlaka güncelleyin.

Resmi Duyurular:

https://support.plesk.com/hc/en-us/a...-API-extension

https://support.plesk.com/hc/en-us/a...port-extension

Pleski severek kullanıyorum fakat rest apisine güvenmiyordum, rest api yerine cli dan ilerliyorum ben her zaman benim için daha sağlıklı oluyor. Projelerimizi elimizden geldiğince kapalı devre tutmak büyük önem arz ediyor özellikle başı boş sokak yapay zekaları furyalarıda ortaya çıktıktan sonra.


https://www.youtube.com/watch?v=eIB1pFMlpbQ

Paylaşım için teşekkürler, ikisi de ciddi açıklar. Site Import tarafındaki özellikle shared/reseller ortamlarda riskli, çünkü saldırgan zaten düşük yetkili bir hesap sahibi olarak sisteme giriyor ve extension üzerinden doğrudan root'a çıkabiliyor — yani tek bir kötü niyetli müşteri hesabı tüm sunucuyu tehlikeye atabiliyor. REST API tarafında kimlik doğrulama şartı olsa da yönetim arayüzünün dışarıya açık olması riski büyütüyor, bu yüzden API erişimini mümkünse IP allowlist ya da VPN arkasına almak mantıklı bir önlem. Panel fark etmeksizin (Plesk, cPanel, ispmanager ya da başka biri) extension/eklenti güncellemelerini çekirdek panel güncellemesinden ayrı takip etmekte fayda var, çünkü bu tip açıklar genelde extension katmanında çıkıyor ve bazı otomatik güncelleme mekanizmaları sadece core'u kapsıyor.