CVE-2026-114119: Bp Premier'ın sabit kodlanmış SQL Server yönetici parolası değiştirilemiyor

21 Ekim 2026'da yayımlanan ve CVE-2026-114119 olarak kataloglanan bir zafiyet, Avustralya genel pratisyen hekimliğinde yaygın olarak kullanılan, Best Practice Software'ın pratisyen yönetim platformu Bp Premier'de sabit kodlanmış bir Microsoft SQL Server yönetici parolasını tanımlıyor. NVD kaydını inceleyen dev.to'daki teknik bir yazıya göre, 1.14.1.1128 sürümünden önceki her Bp Premier kurulumu aynı veritabanı yönetici kimlik bilgisini paylaşıyor ve uygulama tam olarak bu değere bağımlı: değiştirilmesi yazılımı bozuyor.

Değiştirme yolu olmayan paylaşımlı bir kimlik bilgisi

dev.to'da özetlenen NVD kaydına göre, veritabanı örneğine ağ üzerinden erişebilen bir saldırgan sysadmin olarak kimlik doğrulaması yapabilir, uygulamanın kendi oturum açma kontrollerini atlayabilir ve işletim sistemi komutlarını SYSTEM olarak çalıştırabilir. Bu durumu tipik bir sabit kodlanmış parola bulgusundan daha kötü yapan üç özellik var:

• Parola etkilenen tüm dağıtımlarda aynı olduğu için maruziyet yanlış yapılandırılmış sitelerle sınırlı değil; kurulu tabanın tamamını kapsıyor.
• Müşteri parolayı değiştiremiyor, çünkü uygulama tam olarak o değere güveniyor. Herhangi bir düzeltmenin satıcı sürümü olarak gelmesi gerekiyor.
• Ayrıcalık düzeyi SQL Server'da sysadmin; bu da Windows'ta yalnızca uygulama tablolarına okuma erişimi değil, işletim sistemi komut yürütme yoludur.

Kayıt, 1.14.1.1128 veya sonraki bir sürümde düzeltme yapıldığına işaret ediyor ve yazıda, Bp Premier Oxford SP1 sürüm notlarının bu sürüm hattını 1.14.1.1129'a yerleştirdiği belirtiliyor. Ayrıca Avustralya CI-ISAC zafiyet veritabanındaki GCVE-123-2026-0001 kaydına atıfta bulunuyor.

İyileştirme ağ mimarisine dönüşüyor

Bir satıcı gömülü bir kimlik bilgisiyle yazılım teslim ettiğinde standart tavsiye, kurulumdan sonra bunu değiştirmektir. Bu risk azaltma yolu burada mevcut değil. dev.to yazarının da savunduğu gibi geriye, SQL Server dinleyicisine kimlerin erişebildiğini kontrol etmek kalıyor. Port, yalnızca uygulama sunucusu ve yedekleme sistemi tarafından erişilebilir olmalı; tüm klinik alt ağını kapsayan bir güvenlik duvarı kuralı, veritabanını alt ağdaki her iş istasyonuna ve her ağa bağlı yazıcı yönetim arayüzüne maruz bırakır. Sunucunun kendi ana bilgisayar güvenlik duvarı da kontrol edilmeli, çünkü ağ kuralları başka biri tarafından yönetiliyor olabilir.

Kimlik bilgisinin arkasındaki veritabanı

Risk altındaki veri sıradan değil. Yazıya göre örnek, hasta demografik verilerini, randevu geçmişini, faturalama ve Medicare talep verilerini ve pratisyen yazışmalarını içeriyor. Avustralya'nın Gizlilik Yasası 1988 ve Bildirimi Zorunlu Veri İhlali (Notifiable Data Breaches) şeması kapsamında, bu kişisel bilgilere yetkisiz erişim bir olayı bildirilebilir hale getirebilir; ancak yazar, bunun bir CVE kaydının belirleyemeyeceği gerçeklere bağlı olduğunu dikkatle belirtiyor.

Ayrıca adli bir sorun da var. Saldırgan uygulamanın kullandığı kimlik bilgisiyle kimlik doğrulaması yaptığı için, yalnızca kimlik doğrulama günlükleri paylaşılan parolanın hiç suistimal edilip edilmediğini kanıtlamayabilir.

Operatörlerin şimdi yapabileceği kontroller

Yazı, pratisyenler ve yönetilen hizmet sağlayıcıları için kısa bir doğrulama listesi öneriyor:

• Sürümün 1.14.1.1128 veya sonraki olduğunu doğrulayın.
• Veritabanı erişimi olmaması gereken bir iş istasyonundan, Bp Premier sunucusundaki SQL Server portuna TCP bağlantısı deneyin. Başarılı bir bağlantının kendisi bulgudur; hiçbir kimlik bilgisi gönderilmemelidir.
• Güvenlik duvarı kurallarını, porta yalnızca uygulama sunucusu ve yedekleme sisteminin erişebileceği şekilde gözden geçirin.
• Sunucudaki Windows güvenlik duvarı profilinde SQL Server için herhangi birine izin ver kuralı olmadığını doğrulayın.
• Örnek bir üçüncü taraf tarafından barındırılıyorsa, yazılı olarak sürüm bilgisini, veritabanına giden ağ yolunu ve izlemenin etkileşimli bir sysadmin oturumunu uygulamanın servis hesabından ayırt edip edemeyeceğini isteyin.

Danışma belgesinin yanıtlamadığı sorular

Yama sonrasında bile iki konu belirsiz kalıyor. Düzeltilen sürümün statik kimlik bilgisini ortadan kaldırdığı, kurulum başına döndürdüğü ya da yalnızca farklı bir paylaşılan değerle mi geldiği belirtilmiyor; bu sonuçlar çok farklı uzun vadeli risklere işaret ediyor. Ayrıca satıcının uygulamadan kaynaklanmayan bir yönetici oturumunu tespit edip edemeyeceği de bilinmiyor; bu da etkilenen bir pratisyenin istismar edilmediğini hiçbir zaman doğrulayamayacağının belirleyicisi. Yazı, sahadaki istismar iddiasında bulunmuyor, parolayı yayımlamıyor ve ciddiyetin büyük ölçüde bir CVE kaydının değerlendiremeyeceği saldırganın ağ konumuna bağlı olduğuna dikkat çekiyor.

Neden önemli

Sabit kodlanmış kimlik bilgileri yaygın bir bulgudur, ancak bu durumda olağan kaçış yolu ortadan kalkıyor: parola her yerde paylaşılmış durumda ve yazılımı işleten kişiler tarafından değiştirilemiyor. Düzeltilmiş sürüm dağıtılana ve veritabanı portu düzgün şekilde bölütlenene kadar, etkilenen klinikler, muhtemelen hiç bilinçli olarak yapılandırmadıkları ağ kontrollerine tamamen güvenmek durumunda. Bu olay, dikey pazar yazılımı alıcıları için daha geniş bir ders de veriyor: bir uygulama kendi veritabanı kimlik bilgilerine sahip olduğunda, bir yama belirli değeri değiştirebilir ama riskin altındaki sınıfı yerinde bırakabilir. Bu, bir sonraki CVE gelmeden önce herhangi bir satıcıya, yazılı olarak sorulmaya değer bir sorudur.