Apache httpd 2.4.69 yirmi güvenlik düzeltmesini bir araya getiriyor; WebDAV çökme hatası öne çıkan açıkların altında sıralanıyor

Apache, HTTP Server 2.4.69'u 1 Ekim 2026'da yayınladı; sürüm yirmi güvenlik düzeltmesi taşıyor. dev.to'daki bir analiz, bu sorunlardan biri olan WebDAV erişilebilirlik hatası CVE-2026-42528'u ele alarak yöneticilerin büyük bir yama grubunu nasıl sıralaması gerektiğini gösteriyor. Temel sav şöyle: bağlam bilgisine dayanan önemsizlik derecesi, ölçülü bir tepkiyi hem panik hem de gevşeklikten ayıran şeydir ve yirmi açıklı bir sürümdeki her CVE aynı aciliyeti hak etmez.

Grubu madde madde okuyun

dev.to yazısına göre, sürüm özeti, yirmi sorunun hiçbiri için saldırıya uğradığına dair kanıt veya herkese açık kavram kanıtı (proof-of-concept) kodu bildirmiyor. Bu tablo güven verici olsa da grubu tek tip yapmıyor. Analiz, yirmi açıktan bazılarının diğerlerinden daha dar sürüm aralıklarını etkilediği konusunda uyarıyor; dolayısıyla bir CVE için yayınlanan etkilenen aralığın diğerlerine de uygulandığı varsayılmamalı. Her danışma belgesi girdisi, belirli bir ortamda fiilen dağıtılmış sunucu sürümleriyle karşılaştırılarak kontrol edilmeli.

CVE-2026-42528 ne yapıyor

Hata, WebDAV desteğini sağlayan mod_dav modülünde bulunuyor. WebDAV kilit (lock) haklarına sahip bir çağrıcıdan gelen istek, sunucunun alt süreçlerini çöktebilir. dev.to'nun özetlediği gibi, danışma belgesi bu kusur sınıfını 2.4.0'dan 2.4.68'e kadar olan sürümlere yerleştiriyor; yani güncel sürümden önce yayınlanan her şeyi kapsıyor.

Hatayı tetikleyebilecek kişiyi iki ön koşul kısıtlıyor: mod_dav yüklenmiş olmalı ve çağrıcı kilit haklarına sahip olmalı. Analize göre asıl sorun şu: kimlik doğrulamasız bir WebDAV bağlantısı (mount), bu kilit haklarını uç noktaya erişebilen herkese teslim edebilir ve bu da özensiz yapılandırılmış bir sunucuda olası saldırgan havuzunu sessizce genişletebilir.

Yalnızca erişilebilirlik ve yalnızca tekrar yoluyla

Etkilenen güvenlik özelliği erişilebilirliktir. Ana süreç çöken alt süreçlerin yerine yenilerini başlattığı için tek bir istek fark edilir bir kesintiye yol açmaz; pratik etki, geleneksel bir hizmet dışı bırakma (denial of service) örüntüsündeki gibi tekrarlı tetiklemeden gelir. Kod çalıştırma ve dosya erişimi ikisi de bu kusurun kapsamı dışındadır. dev.to yazısı ayrıca, sürüm özetinin bu sorunu gruptaki en ağır sorunlar arasında sıralamadığına dikkat çekiyor.

Dağıtım ayak izi, maruziyet değildir

Ölçek duygusu için analiz, app="Apache httpd" için 596.483.702 varlık döndüren bir ZoomEye sorgusuna atıf yapıyor. Bu sayı ürünün dünya çapında ne kadar yaygın dağıtıldığını tanımlıyor; bu sunuculardan kaçının bu belirli CVE'ye fiilen maruz kaldığı hakkında hiçbir şey söylemiyor. Yalnızca mod_dav yüklenmiş ve WebDAV uç noktaları kimlik doğrulaması olmadan erişilebilir olan sunucular, hatanın etki yarıçapı içindedir.

Önce yamalayın, bu arada yapılandırmaları sıkılaştırın

Birincil çözüm, Apache HTTP Server 2.4.69'a güncellemektir. Hemen yükseltme yapamayan kuruluşlar için analiz ara önlemler öneriyor:

• Hiç WebDAV sunmayan sunucularda mod_dav'ı kaldırın; böylece savunmasız kod yolu tamamen ortadan kalkar.
• WebDAV'ın gerçekten gerekli olduğu uç noktalarda kimlik doğrulaması zorunlu kılın; böylece kilit hakları anonim olarak dağıtılmaz.
• Satıcı geri portlarını (backport) izleyin; çünkü dağıtım paketli sunucular düzeltmeleri genellikle kendi kanalları üzerinden alır.

Neden önemli

Yöneticilerin üzerine bir seferde yirmi CVE yığan bir sürüm, tam da önceliklendirmeyi zorlayan yığın türüdür ve içeriğe değil sayıya tepki vermek çabun yanlış yönlendirilmesine yol açar. mod_dav vakası bunun nedenini gösteriyor: dar ön koşullı ve gözlemlenmiş sömürü olmayan, yalnızca çökme türünde bir hata, grubun daha ağır girdilerinden — hangileri olduğu ortaya çıksa da — farklı bir zaman çizelgesi hak eder. Ayrıca modül hijyeninin değerini gösterir; kullanılmayan modülleri kaldırmak, bütün CVE sınıflarını daha yayınlanmadan değerlendirme dışı bırakır. Son olarak, 596 milyonluk varlık ayak izi ile CVE başına fiili maruziyet arasındaki fark, alarmin ve planlamanın farkıdır. Bir uyarıyı açıkça belirtmeye değer: bu tablo tek bir dev.to analizinden geliyor; dolayısıyla yöneticiler ayrıntıları, bakım kesintisi planlamadan önce resmi Apache danışma belgesiyle doğrulamalıdır.