Eski kurulum betiğinin web üzerinden erişilebilir olması — yönetim veritabanında kullanılmayan tablolar
Düşük Çözüldü
28.09.2026 · Etkilenen:
Yönetim veritabanı (kiracı verileri etkilenmedi)
- 2026-09-28 22:40 Oluşan tüm kalıntılar kaldırıldı; yönetim veritabanı olay öncesi haline döndü. Sağlık kontrolleri temiz. Çözüldü.
- 2026-09-28 22:09 Sunucu seviyesinde ikinci koruma eklendi: kurulum/test betikleri ve bağımlılık klasörü web sunucusunda doğrudan engellendi.
- 2026-09-28 21:53 Etki analizi: oluşan kayıtlar yedeklendi. Müşteri/kiracı veritabanlarına erişim olmadı; oluşan yönetici kaydı hiçbir giriş akışında kullanılamıyordu (giriş yalnızca kiracı veritabanlarında doğrulanır). Hizmette kesinti yaşanmadı.
- 2026-09-28 20:48 Betik yalnızca sunucu komut satırından çalışacak şekilde kilitlendi; web isteklerine artık 404 döner.
- 2026-09-28 20:43 Planlı iç güvenlik denetimi sırasında, ilk kurulumdan kalan eski bir betiğin web sunucusu üzerinden erişilebilir olduğu tespit edildi. Denetim aracının yaptığı tek istek betiği çalıştırdı; betik yönetim veritabanında eski şemaya ait boş tablolar ve kullanılamayan bir varsayılan yönetici kaydı oluşturdu.
Postmortem
Ne oldu: İlk kurulumda kullanılan bir betik, uygulama sunucusunun erişim kurallarından birinde engelliyken diğerinde engellenmemişti. Bu açık, dış bir saldırıyla değil, kendi planlı güvenlik denetimimiz sırasında ortaya çıktı.
Etki: Müşteri verisine erişim, veri kaybı veya kesinti yok. Sunucu erişim kayıtları (14–28 Eylül) betiğe gelen tüm isteklerin denetimimize ait olduğunu, tabloların oluşturulma zamanı da betiğin bu olaydan önce çalıştırıldığına dair iz bulunmadığını gösteriyor.
Önlemler:
- Tüm kurulum/test betikleri artık yalnızca komut satırından çalışır (kod seviyesinde kilit).
- Web sunucusu erişim kuralları iki katmanda birebir eşitlendi; yeni betik eklendiğinde her iki listeye de eklenmesi süreç kuralı oldu.
- Otomatik denetim araçlarının canlı ortamda bu tür betiklere hiçbir koşulda istek atmaması kural olarak eklendi.