Kaltura’nın eski mwEmbed oyuncusundaki iki açık, uzak saldırganların kimlik doğrulaması olmadan dosya okumasına ve bazı kurulumlarda kod çalıştırmasına izin verebilecek durumda. CERT/CC’nin 25 Ağustos 2026 tarihli uyarısına göre CVE-2026-19913 ve CVE-2026-19912 olarak izlenen sorunlar için henüz yama yayımlanmadı ve kurum, Kaltura ile koordinasyon kuramadığını bildirdi.
Her iki açık da mwEmbedLoader.php uç noktasındaki güvensiz serileştirme işlemlerinden kaynaklanıyor. Etkilenen bileşen, Kaltura’nın html5lib adıyla da dağıttığı mwEmbed player kitaplığı içinde yer alıyor. CERT/CC, saldırı için yalnızca bu uç noktaya ağ üzerinden erişimin yeterli olduğunu, oturum belirteci ya da kullanıcı kimlik doğrulaması gerekmediğini aktardı. Kurumun notuna göre problemli yükleyici hem müşteri kurulumlarında hem de Kaltura’nın kendi paylaşımlı üretim ana makinelerinde açık bulunuyor.
Aynı hatadan doğan iki farklı saldırı zinciri
İlk açık CVE-2026-19913, ServiceUrl parametresi üzerinden dosya okuma davranışına dönüşüyor. mwEmbedLoader.php bu parametreyi arka uç API isteği için hedef adres olarak kabul ediyor; KalturaClientBase adlı PHP istemcisi de dönen veriyi kaynağını, şemasını ya da içeriğini doğrulamadan PHP’nin unserialize() fonksiyonuna iletiyor. Saldırgan file:// ile başlayan bir yol verdiğinde sunucu bir API yanıtı yerine yerel dosyayı çekiyor. Serileştirme işlemi başarısız olsa da çekilen dosyanın ham içeriği hata mesajına gömülerek isteği yapan tarafa geri dönüyor.
AndDone araştırmacısı Gerjan Wemekamp, Salı günü yayımladığı teknik notta bu dosya okuma zincirini Kaltura uygulama yapılandırmasını alarak genişlettiğini yazdı. Araştırmacının hedef olarak gösterdiği /opt/kaltura/app/configurations/local.ini dosyasında düz metin veritabanı bağlantı dizeleri, yönetici ve konsol parolaları ile dahili ana makine referansları bulunuyor.
Wemekamp’ın açıklamasına göre aynı dosya okuma zinciri, Kaltura uygulama yapılandırmasına erişmek için yeterli oluyor. Teknik notta, yerel yapılandırma dosyasının açık metin kimlik bilgileri ve iç sistem referansları taşıdığı özellikle belirtildi. CERT/CC’nin uyarısında da, saldırının ağ erişimi dışında bir ön koşul istemediği vurgulandı.
İkinci açık CVE-2026-19912 ise aynı serileştirme zafiyetini kod çalıştırmaya taşıyor. Bu kez saldırı, uiconf_id isteği üzerinden ilerliyor. Uygulama bu parametreyi disk üzerine yazarken önbellek klasörü yoluna filtrelemeden ekliyor. Saldırgan ServiceUrl değerini kötü amaçlı serileştirilmiş bir nesneye yönlendiriyor; istemci bu nesneyi çekip çözüyor. Ardından ../ gibi dizin aşımı dizileri içeren bir uiconf_id değeri, yazma işlemini hedeflenen önbellek dizininden çıkarıp web üzerinden erişilebilir bir konuma taşıyor. Dosya doğrudan istendiğinde içerik web sunucusu kullanıcısı kimliğiyle çalışıyor.
Wemekamp, dosya bırakma aşamasının Kaltura’nın varsayılanı olan dosya tabanlı önbellek arka ucuna bağlı olduğunu belirtti. Memcache-only bir kurulumun bu yazma adımını bastırabileceğini, dolayısıyla belirli RCE yolunu kapatabileceğini söyledi. Ancak bunun dağıtımı güvenli hale getirmediğini de vurguladı. Araştırmacı, dosya tabanlı önbelleğin devrede olmadığı senaryoda bu özel yolun etkisizleşebileceğini, buna rağmen serileştirme zincirinin varlığını koruduğunu ifade etti.
CERT/CC, şu an için yama bulunmadığını ve Kaltura’ya bu açıkları koordine etmek için ulaşılamadığını yazdı. Kurum, yöneticilere uç noktaya dış erişimi kısıtlamalarını ya da tamamen devre dışı bırakmalarını, ServiceUrl için de yalnızca meşru arka uç API adreslerini kabul eden sıkı bir allow-list uygulamalarını önerdi.
Uyarıda ayrıca uiconf_id alanında dizin aşımı, mutlak yol ya da dizin ayırıcıları içeren değerlerin reddedilmesi, önbellek dizinlerinde PHP çalıştırılmasının engellenmesi ve uygulama sunucusunun dışarıya çıkış ağ erişiminin kısıtlanması gerektiği aktarıldı. Kod çalıştırma zincirinin payload’ı çekmek için dış bağlantıya ihtiyaç duyduğu not edildi. Aynı notta, ServiceUrl için yalnızca dağıtımın kendi API ana makinesine izin verilmesi ve HTTP ya da HTTPS dışındaki şemaların reddedilmesi de yer aldı.
Güvenlik notuna göre etkilenen sürümler arasında html5lib v2.45, v2.103 ve daha eski sürümler ile savunmasız uç noktayı açığa çıkaran diğer v2.x sürümleri yer alıyor. CERT/CC, 25 Ağustos 2026 itibarıyla bu CVE’lerin CISA’nın Known Exploited Vulnerabilities listesinde bulunmadığını da ekledi. Yazının hazırlandığı sırada aktif istismar bildirimi yoktu.
Kaltura, video yönetimi, yayınlama, oynatma ve web uygulamalarına entegrasyon için araçlar sunan bir platform olarak tanımlanıyor. CERT/CC’ye göre savunmasız yükleyici hem müşteri kurulumlarında hem de Kaltura’nın ortak üretim barındırma ortamlarında açık durumda. Kurum, “Etkilenen uç nokta Kaltura’nın paylaşımlı, çok kiracılı CDN altyapısında da erişilebilir olduğu için bu açıklar yalnızca tekil müşteri kurulumlarını değil, bu ortak sunucular üzerinden hizmet alan her kiracıyı etkiliyor” ifadesini kullandı.
Wemekamp, CVE-2026-19912 için 10.0, CVE-2026-19913 için ise 9.1 puan verdi ve ikisini de kendi değerlendirmesinde reporter-assigned olarak işaretledi. CERT/CC iki açık için de puan yayımlamadı. 25 Ağustos 2026 itibarıyla NVD’de bu iki kimlik için kayıt da bulunmuyordu. NIST, Nisan ayında yaptığı açıklamada artık her CVE’yi zenginleştirmediğini, önceliği KEV kataloğundaki kayıtlar, federal hükümet içinde kullanılan yazılımlar ve Executive Order 14028 kapsamında kritik ilan edilen ürünlere verdiğini duyurmuştu.
Araştırmacı, zincirin hangi kısmını doğruladığını da açık biçimde ayırdı. Ona göre 2019 tarihli Kaltura Server Docker imajında uçtan uca web shell bırakma senaryosu gösterildi. Mevcut sürüm üzerinde doğruladığı şeyin, zincirin iki parçasının da hâlâ mevcut olması ve serileştirme tarafının tarif edildiği gibi çalışmaya devam etmesi olduğunu söyledi.
Kaltura’nın herkese açık kaynak deposu da aynı tabloyu destekliyor. İncelemeye göre deployment/uiconf/KalturaClientBase.php dosyası, 27 Nisan 2015’te kaydedilen Jupiter-10.9.0 sürümünden 13 Ağustos 2026’da kaydedilen West-23.5.0 sürümüne kadar 21 yayın referansında byte-byte aynı kaldı. unserialize() çağrısı ve hata mesajındaki yansıtma davranışı ise daha da eski, 10 Mart 2014 tarihli bir sürüm referansında görünüyor.
Kaltura daha önce de güvensiz serileştirme kodunu temizlemişti. Ağustos 2017’de, Telekom Security’nin platformdaki üç açığı kapsayan uyarısından haftalar önce, şirket üç güvensiz unserialize çağrısını kaldıran bir commit yayımladı ve bu sorunları 13.2.0 sürümünde kapattı. Ancak o commit KalturaClientBase.php dosyasına dokunmadı.
Yılın başka bir bölümünde de yamalanmamış serileştirme açıkları saldırganların odağına girdi. Temmuz ayında Fastjson 1.x, o tarihte için düzeltilmiş bir 1.x sürümü yayımlanmamış olan başka bir yamalanmamış serileştirme açığıyla hedef alındı.
Kaltura’nın 28 Mayıs 2024’te güncellenen security.txt dosyası, güvenlik bildirimlerini HackerOne üzerindeki bir bug bounty programına yönlendiriyor ve güvenlik soruları için security@kaltura.com adresini listeliyor. Araştırmacının zaman çizelgesine göre ilk bildirim 23 Mart 2026’da bir satıcı güvenlik irtibatına yapıldı. 13 Nisan’da kurumsal bir adresten yeniden gönderildi. 23 Mayıs’ta şirketin CISO’suna LinkedIn üzerinden ulaşıldı. 2 Temmuz’da dosya ulusal bir CERT üzerinden yükseltildi.
CERT/CC, 8 Temmuz’da Kaltura’ya bildirim geçti. Uyarı notunda satıcının her iki CVE için durumu Unknown olarak geçiyor ve herhangi bir yanıt alınmadığı belirtiliyor. Ne CERT/CC ne de araştırmacı, ilk raporların hangi adres veya kanal üzerinden gönderildiğini açıklıyor.
İlgili NVD kayıtları: CVE-2026-19913 ve CVE-2026-19912.