"ACİL DURUM: Dell CSM'de İki Tehlikeli 10 Skorlu Açık — Tek İstekle Hem Depolama Hem Kubernetes Kümesi Ele Geçiriliyor" Geçen saatlerde The Hacker News'te yayımlanan bir habere göre, Dell, Kubernetes kümelerini şirketin kurumsal depolama dizilerine bağlayan Container Storage Modules (CSM) yazılımında altısı birden kritik düzeyde olan güvenlik açıkları için acil güncelleme yayımladı. Bu altı açıktan ikisi, CVSS ölçeğinde mümkün olan en yüksek puan olan 10.0 alıyor. Açığın özü şu: "CVE-2026-63688" olarak takip edilen ve CVSS 10.0 puan alan ilk açık, "csm-authorization-storage" gRPC sunucusundaki eksik kimlik doğrulamadan kaynaklanıyor; kimliği doğrulanmamış uzaktaki bir saldırganın, CSM'ye kayıtlı tüm depolama dizilerinin arka uç yönetici kimlik bilgilerine yetkisiz erişim sağlamasına olanak tanıyor. Aynı puanı alan ikinci açık "CVE-2026-63692" ise yetkilendirme proxy'si ve kiracı (tenant) servisindeki kritik bir fonksiyon için eksik kimlik doğrulamadan kaynaklanıyor; kimliği doğrulanmamış bir ağ saldırganının kimlik doğrulama kontrollerini atlatıp yönetici düzeyinde ayrıcalık elde etmesine imkân tanıyor. Bu iki açık birlikte düşünüldüğünde, tek bir kimlik doğrulamasız istek hem depolama katmanını hem de hesaplama (compute) katmanını aynı anda tehlikeye atabiliyor. Geri kalan dört açık da göz ardı edilemeyecek kadar ciddi: "CVE-2026-67269" (CVSS 9.9), CSM Operator'daki hatalı ayrıcalık yönetiminden kaynaklanıyor ve düşük yetkili uzaktaki bir saldırganın tek bir özel kaynak (custom resource) göndererek küme düğümlerinde root erişimi elde etmesine, Dell'in kendi ifadesiyle "tek bir özel kaynak gönderimiyle Kubernetes kümesindeki tüm düğümleri tamamen ele geçirmesine" olanak tanıyor. "CVE-2026-54472" (CVSS 9.8), CSM Authorization modülündeki sabit kodlanmış (hard-coded) kimlik bilgilerinden kaynaklanıyor ve uzaktaki kimliği doğrulanmamış bir saldırganın kriptografik olarak geçerli yönetici tokenları sahteleyip CSM Authorization proxy'sine yetkisiz yönetici erişimi elde etmesine imkân tanıyor. "CVE-2026-67273" (CVSS 9.6) bir şablon motoru (template engine) açığından kaynaklanıyor ve başarılı istismar, saldırgana Kubernetes Secrets'lara küme genelinde okuma erişimi ile küme kapsamlı RBAC kaynakları oluşturma yeteneği veriyor; bu da Kubernetes'in erişim kontrollerini fiilen tamamen devre dışı bırakıyor. Altıncı açık olan "CVE-2026-61421" ise kimlik doğrulama tokenlarının sahtelenmesine ve yönetici ayrıcalıklarının ele geçirilmesine olanak tanıyor. Tüm bunların sonucunda bu açıklardan yararlanan bir saldırgan: Hiçbir kimlik bilgisine ihtiyaç duymadan, PowerStore, PowerScale, PowerFlex, PowerMax ve Unity XT dahil CSM'ye kayıtlı tüm depolama dizilerinin yönetici kimlik bilgilerini ele geçirebilir Düşük yetkili bir kullanıcı olarak tek bir istekle Kubernetes kümesindeki tüm düğümlerde root erişimi elde edebilir Kubernetes'in erişim kontrol mekanizmalarını tamamen atlayarak kümedeki tüm gizli bilgilere (Secrets) erişebilir ve kendi yetkili kaynaklarını oluşturabilir CSM 1.17.0 öncesi tüm sürümleri etkileyen bu açık zincirini kullanarak hem depolama hem de Kubernetes katmanını eşzamanlı olarak tam anlamıyla ele geçirebilir Dell, açıkları gideren CSM 1.18.0 sürümünü yayımladı ve güncelleme dışında herhangi bir geçici çözüm bulunmadığını açıkça belirtti. Şirket, müşterilere yalnızca güncelleme yapmalarını değil, aynı zamanda JWT imzalama sırlarını ve CSM'nin elinde tuttuğu depolama arka uç yönetici parolalarını da değiştirmelerini şiddetle tavsiye ediyor; çünkü açıklardan biri doğrudan bu kimlik bilgilerini hedef alıyor. Kurumların ayrıca CSM Authorization proxy günlüklerini olağandışı kimlik doğrulamasız API çağrıları, beklenmedik token verilişleri ve pod olmayan IP adreslerinden gelen erişim desenleri açısından denetlemesi öneriliyor. Kaynak: https://thehackernews.com/2026/10/dell-csm-flaws-enable-unauthenticated.html Siz bu açık veya Dell CSM zinciri hakkında ne düşünüyorsunuz? Depolama ve Kubernetes katmanlarını birbirine bağlayan bu tür "köprü" yazılımların tek bir zayıf noktayla her iki katmanı birden çökertebilmesi, kurumsal altyapılarda bu tür entegrasyon bileşenlerinin ne kadar kritik bir saldırı yüzeyi oluşturduğunu bir kez daha gösteriyor değil mi?