Axis Camera Station'da Kritik Güvenlik Açığı: CVSS 9,9, Güncelleme Yayımlandı
Axis Communications, AXIS Camera Station Pro ve Camera Station 5 yazılımlarını etkileyen CVE-2026-13312 güvenlik açığını duyurdu. CVSS 9,9 puanlı kritik sorun için düzeltmeler yayımlandı. Aynı gün açıklanan diğer güvenlik açıkları da video yönetim sistemlerinde yetkilendirme ve erişim kontrolünün önemini gündeme getirdi.
Axis Communications, 10 Kasım 2026 tarihinde video yönetim yazılımlarını etkileyen kritik bir güvenlik açığı hakkında resmî güvenlik bülteni yayımladı.
CVE-2026-13312 olarak kaydedilen açık, CVSS 3.1 değerlendirmesinde 9,9 puan alarak kritik önem seviyesinde sınıflandırıldı.
Güvenlik açığı, AXIS Camera Station Pro ve AXIS Camera Station 5 yazılımlarının belirli sürümlerini etkiliyor. Üretici, sorunun bir saldırganın sistemi tehlikeye atmasına imkân verebileceğini belirtiyor.
Axis'in açıklamasına göre güvenlik açığı, şirketin Camera Station Pro hata ödül programına katılan güvenlik araştırmacısı Ryan Vinton tarafından tespit edildi.
Üretici, güvenlik açığının teknik ayrıntılarını paylaşmayacağını duyururken etkilenen sistemler için güncellemelerin kullanıma sunulduğunu açıkladı.
Hangi AXIS Camera Station Sürümleri Etkileniyor?
Axis tarafından yayımlanan güvenlik bülteni ve CVE kayıtlarına göre aşağıdaki yazılım sürümleri etkileniyor:
AXIS Camera Station Pro
Etkilenen sürümler: 6.0 ve üzeri, 6.17 öncesi
Düzeltilmiş sürüm: 6.17
AXIS Camera Station 5
Etkilenen sürümler: 5.0 ve üzeri, 5.59 SR 2 öncesi
Düzeltilmiş sürüm: 5.59 SR 2
Bu sürümler, CVE-2026-13312 için açıklanan düzeltme eşikleridir. Aynı yazılımlardaki diğer güvenlik sorunları nedeniyle üreticinin desteklediği daha güncel sürümlerin kullanılması gerekebilir.
Burada önemli bir ayrım bulunuyor: Açıklanan güvenlik açığı, doğrudan belirli bir IP kamera modelinin donanımında değil, kameraların yönetiminde kullanılan yazılımlarda bulunuyor.
Dolayısıyla sistemin yalnızca Axis marka kameralar kullanması, bu açıktan etkilendiği anlamına gelmiyor. İlgili Camera Station yazılımının kullanılıp kullanılmadığı ve kurulu sürümün ne olduğu kontrol edilmeli.
CVSS 9,9 Puanı Ne Anlama Geliyor?
CVE-2026-13312 için yayımlanan CVSS 3.1 vektörü şu şekilde:
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Bu değerlendirme, güvenlik açığının ağ üzerinden değerlendirilebildiğini ve düşük saldırı karmaşıklığına sahip olduğunu gösteriyor.
Ancak puanın doğru yorumlanması önemli. CVSS kaydında saldırının mevcut düşük yetkili bir erişim gerektirdiği belirtiliyor. Bu nedenle açığı, kimlik doğrulama gerektirmeyen bir uzaktan saldırı olarak tanımlamak doğru değil.
Değerlendirme ayrıca başarılı bir istismarın gizlilik, bütünlük ve erişilebilirlik üzerinde yüksek etki oluşturabileceğini gösteriyor.
Bununla birlikte üretici, saldırının tam olarak hangi işlemlerle gerçekleştirilebileceğini açıklamadı.
Bu yüzden mevcut bilgilerden hareketle video kayıtlarının kesin olarak ele geçirilebildiği, uzaktan kod çalıştırılabildiği veya kameraların doğrudan kontrol edilebildiği sonucuna varılamaz.
Aynı Gün Başka Güvenlik Açıkları da Açıklandı
Axis, 10 Kasım 2026 tarihinde Camera Station ürün ailesini ilgilendiren başka güvenlik sorunlarının kayıtlarını da yayımladı.
Bunlardan CVE-2026-12964, AXIS Camera Station Pro yazılımında görüntüleyici yetkisine sahip bir hesabın yönetici ayrıcalıkları kazanabilmesine yol açabilecek bir açık olarak tanımlanıyor.
CVSS 8,0 puanlı sorun, sunucu taraflı istek sahteciliği olarak bilinen SSRF zafiyet sınıfıyla ilişkilendiriliyor.
Axis'in resmî bültenine göre 6.6 ile 6.17 arasındaki Camera Station Pro sürümleri etkileniyor. Düzeltme 6.18 sürümünde bulunuyor.
Aynı gün açıklanan CVE-2026-8372 ise CVSS 8,8 puanına sahip. Üreticinin CVE kaydı, Camera Station Pro'nun 6.13 ve sonrasındaki, 6.18 öncesi sürümlerinde yetkisiz erişim riski tanımlıyor.
Bu açığın CVSS değerlendirmesinde saldırı için kullanıcı etkileşimi gerektiği belirtiliyor.
Bir diğer bulgu olan CVE-2026-12963, görüntüleyici hesabının sunucuya bağlı ağ depolama kaynaklarına yetkisiz erişebilmesine ilişkin.
Bu açık, video yönetim sistemlerinde yalnızca kamera görüntülerinin değil, kayıtların saklandığı depolama altyapısının da ayrı güvenlik kontrolleri gerektirdiğini gösteriyor.
Axis, Güvenlik Açıklarının Kullanıldığına Dair Bilgi Bulunduğunu Söylüyor mu?
Axis'in CVE-2026-13312 güvenlik bülteninde, 10 Kasım 2026 itibarıyla kamuya açık bilinen bir istismar bulunmadığı ve üreticinin açığın kullanıldığına ilişkin bilgi sahibi olmadığı belirtiliyor.
Benzer açıklama CVE-2026-12964 güvenlik bülteninde de yer alıyor.
Ancak bilinen bir saldırı bulunmaması, güvenlik açığının önemsiz olduğu anlamına gelmiyor.
Güvenlik açıkları yayımlandıktan sonra etkilenen sürümlerin ve düzeltmelerin kamuya açık hâle gelmesi, sistem yöneticilerinin güncelleme planlarını geciktirmemesi gerektiği anlamına geliyor.
Öte yandan bir CVE kaydının yayımlanması, tek başına gerçek bir saldırı olayı yaşandığını kanıtlamaz.
Kamera Yönetim Sunucuları Neden Kritik?
Video yönetim sistemleri, çok sayıda kameranın merkezi olarak izlenmesi ve yönetilmesi için kullanılıyor.
Bu sistemler kamera bağlantılarını, kullanıcı rollerini, görüntüleme izinlerini ve kimi kurulumlarda kayıt depolama altyapısını yönetebiliyor.
Dolayısıyla güvenlik tasarımında yalnızca kameraların ağ bağlantıları değil, VMS sunucusunun kendisi de korunmalı.
Özellikle kurumsal ağlarda kamera yönetim sistemlerine erişim yetkileri dikkatli planlanmalı. Her operatöre yönetici ayrıcalığı verilmesi, gereksiz bir güvenlik riski oluşturabilir.
Ayrıca yönetim arayüzlerinin internet üzerinden doğrudan erişilebilir olması yerine, ihtiyaca uygun güvenli uzaktan erişim yöntemlerinin kullanılması değerlendirilmeli.
Kamera ağı, yönetim sunucuları ve diğer kurumsal sistemler arasındaki bağlantılar da yetki ve ihtiyaç esasına göre sınırlandırılmalı.
Türkiye'deki Entegratörler ve Kurumlar Ne Yapmalı?
Türkiye'de Axis Camera Station kullanan güvenlik entegratörleri, sistem yöneticileri ve kurumsal müşteriler açısından ilk adım mevcut yazılım sürümünü belirlemek olmalı.
Önerilen kontrol sırası şöyle:
- Kurulu AXIS Camera Station ürününü ve tam sürüm numarasını belirlemek.
- Sürümü ilgili CVE kaydındaki etkilenen aralıkla karşılaştırmak.
- Axis'in güncel güvenlik bültenlerini ve sürüm notlarını kontrol etmek.
- Güncelleme öncesinde sistem yapılandırmasını ve gerekli yedekleri güvenli biçimde korumak.
- Uygun bakım penceresinde üreticinin önerdiği güncellemeyi uygulamak.
- Güncelleme sonrasında kamera bağlantılarını, kullanıcı yetkilerini ve kayıt işlevlerini doğrulamak.
Özellikle kritik altyapılar, hastaneler, üretim tesisleri, lojistik merkezleri ve geniş kamera ağlarına sahip işletmelerde bakım çalışmalarının operasyonel süreklilik gözetilerek planlanması gerekiyor.
Sonuç olarak CVE-2026-13312, kamera güvenliğinin yalnızca cihaz yazılımından ibaret olmadığını hatırlatıyor. Video yönetim sunucuları, kullanıcı yetkileri ve kayıt altyapıları da sistemin güvenlik bütünlüğünün temel parçaları.
Axis'in 10 Kasım 2026 tarihli açıklamaları, bu bileşenlerin düzenli güncellenmesinin ve erişim yetkilerinin sınırlandırılmasının önemini ortaya koyuyor.
Kaynaklar
Axis Communications — CVE-2026-13312 resmî güvenlik bülteni, 10 Kasım 2026
https://www.axis.com/dam/public/e4/2d/85/cve-2026-13312pdf-en-US-561251.pdf
CVE Programı — Axis tarafından yayımlanan CVE-2026-13312 kaydı, 10 Kasım 2026
https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/13xxx/CVE-2026-13312.json
Axis Communications — CVE-2026-12964 resmî güvenlik bülteni, 10 Kasım 2026
https://www.axis.com/dam/public/50/3b/39/cve-2026-12964pdf-en-US-561250.pdf
CVE Programı — CVE-2026-8372 resmî kaydı, 10 Kasım 2026
https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/8xxx/CVE-2026-8372.json
CVE Programı — CVE-2026-12963 resmî kaydı, 10 Kasım 2026
https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/12xxx/CVE-2026-12963.json