AnyDesk’in Linux sürümünde uzaktan kod çalıştırmaya izin veren kritik açık kapatıldı

Uzaktan masaüstü erişim yazılımı AnyDesk’in Linux sürümünde, kimlik doğrulaması gerektirmeyen bir uzak saldırganın kod çalıştırmasına olanak tanıyan kritik bir açık kapatıldı. CVE-2026-109390 olarak kayıtlara geçen sorun, CVSS 3.1 ölçeğinde 9.8 puanla kritik seviyede. Açık, 8.0.3 sürümünden önceki Linux istemcilerini etkiliyor.

Kayda göre zafiyet, oturum protokolünde mod 5 akış paketlerini işleyen bölümde paket uzunluğunun doğrulanmamasından kaynaklanıyor (CWE-130). Saldırgan uzunluk değerini doğrulama dışı bırakarak yığın tabanlı tampon taşması tetikleyebiliyor ve bu da uzaktan kod çalıştırmaya kadar gidiyor. Bildirimi yapan tarafın senaryosunda, Linux’ta root yetkisiyle komut çalıştırılabiliyor ve bunun için kurbanın masaüstü kontrolü talebini onaylaması bile gerekmiyor.

Hangi sürümler etkileniyor

CVE kaydı AnyDesk’in 8.0.0, 8.0.1 ve 8.0.2 sürümlerini etkilenenler arasında sayıyor; 8.0.3 ve sonrasında açık kapatılmış durumda. Etki bilgisi yalnızca Linux istemcisi için veriliyor, Windows ve macOS tarafına dair bir kayıt bulunmuyor.

Neden önemli

Uzaktan masaüstü araçları kullanıcının makinesine tam erişim veren ve çoğu zaman arka planda çalışan yazılımlar. Bu açıkta saldırganın parola ya da oturum bilgisi sunması gerekmiyor; hedef makinenin AnyDesk hizmetine erişebilmesi yeterli. Yetki yükseltmeye ihtiyaç duyulmaması ve istismarın kurban onayı olmadan çalışabilmesi riski artırıyor. Sorunun ayrıntıları ve çalışan bir istismar kodu kamuya açık bir depoda paylaşıldığı için güncellemeyi geciktirmenin maliyeti yüksek.

Ne yapmalı

AnyDesk’i Linux’ta kullanıyorsanız 8.0.3 sürümüne güncelleyin ve kurulu sürüm numarasını kontrol edin. Güncelleme yapamadığınız bir makinede AnyDesk’i kullanmadığınız zamanlarda kapatın, gelen bağlantı portunu internete açık bırakmayın, erişimi mümkünse yerel ağ ya da VPN ile sınırlayın. Kullanılmayan erişim parolalarını ve izinleri temizlemek, erişim kontrol listesini gözden geçirmek de işe yarar.

Kaynak: NVD · CVE-2026-109390