Veeam KB4952 Güvenlik Duyurusu: eMudhra Sertifikaları ve Uygulanması Gereken Çözümler

25 Ekim 2026 | Veeam, Siber Güvenlik, Backup & Recovery

Veeam, 21 Ekim 2026 tarihinde yayımladığı KB4952 numaralı teknik bilgilendirme ile eMudhra sertifika otoritesine ait bazı ara sertifikalarda tespit edilen güvenlik sorununa ilişkin açıklama yaptı ve Veeam altyapılarında uygulanması gereken çözüm yöntemlerini paylaştı.

Söz konusu durum doğrudan Veeam ürünlerinde tespit edilen bir yazılım güvenlik açığından kaynaklanmıyor. Güvenlik riski, işletim sistemlerinin TLS bağlantılarını doğrularken kullandığı sertifika güven zinciriyle ilişkili. Bu nedenle Veeam bileşenlerinin çalıştığı Windows ve Linux sistemlerde ilgili güvenlik güncellemelerinin uygulanması önem taşıyor.

Veeam, yayımladığı bilgilendirmede etkilenen ortamları ve gerekli aksiyonları açıklayarak sistem yöneticilerinin süreci kontrollü şekilde yönetebilmesine yönelik teknik yönlendirmeler sunuyor.

Bu yazıda duyurunun kapsamını, hangi Veeam bileşenlerinin değerlendirilmesi gerektiğini ve Windows, Linux ile Veeam Appliance ortamlarında izlenebilecek çözüm adımlarını ele alacağım.

KB4952 Duyurusu Neleri Kapsıyor?

Ekim 2026'da eMudhra tarafından kullanılan sekiz adet Intermediate Certificate Authority (Ara Sertifika Otoritesi) sertifikasının özel anahtarlarının yeterli kriptografik güvenliğe sahip olmadığı tespit edildi.

Bu sertifikalar, özel anahtarların yeniden elde edilebilmesi ihtimaline karşı iptal edildi. eMudhra tarafından yapılan açıklamada, söz konusu ara sertifika otoritelerinin herhangi bir son kullanıcı sertifikası üretmediği ve sorunun açıklanmasından önce kötüye kullanıldığına ilişkin bir kanıt bulunmadığı belirtildi.

Teknik açıdan değerlendirildiğinde, sertifika güven deposunda (Certificate Trust Store) ilgili ara sertifikalara duyulan güvenin kaldırılması gerekiyor.

Veeam altyapılarında TLS bağlantılarının doğrulanması, ilgili bileşenin çalıştığı işletim sisteminin sertifika güven mekanizmalarına dayanıyor. Bu bağlantılar arasında Object Storage servisleri, Microsoft 365, bulut platformları, Veeam lisans ve güncelleme servisleri ile SMTP sistemleri bulunabiliyor.

Dolayısıyla bu duyuru, Veeam yazılımına özgü bir güvenlik açığından ziyade, Veeam bileşenlerinin üzerinde çalıştığı işletim sistemlerinin güvenlik yapılandırmalarını ilgilendiriyor.

Önemli bilgi: Veeam, Windows ve Linux üzerinde çalışan bileşenler için ayrıca bir Veeam ürün güncellemesinin gerekli olmadığını belirtiyor. Bu ortamlarda ilgili işletim sisteminin sertifika güven listelerinin güncellenmesi yeterli. Veeam tarafından yönetilen Appliance çözümleri için ise gerekli güncelleme Veeam Updater üzerinden sağlanıyor.

Hangi Veeam Ürünleri ve Bileşenleri Kontrol Edilmeli?

Veeam'in resmi KB4952 duyurusunda aşağıdaki ürünler yer alıyor:

Veeam Backup & Replication
Veeam Backup for Microsoft 365
Veeam ONE
Veeam Service Provider Console
Veeam Recovery Orchestrator
Veeam Management Pack for Microsoft System Center

Bunlara ek olarak Veeam Agents, Enterprise Application Plug-ins ve yedekleme altyapısında görev alan Windows veya Linux tabanlı proxy, repository ve gateway sunucularının da işletim sistemi güvenlik güncellemeleri kapsamında değerlendirilmesi gerekiyor.

Burada dikkat edilmesi gereken nokta, güncelleme ihtiyacının ürün sürümünden çok ilgili işletim sistemindeki sertifika güven listesinin güncelliğiyle ilişkili olması.

Çözüm 1: Windows Üzerinde Çalışan Veeam Bileşenleri

Microsoft, 20 Ekim 2026 itibarıyla ilgili ara sertifikaların güvenilir kabul edilmesini engelleyecek güncellemeleri yayımladı.

Windows Update altyapısına erişebilen ve otomatik sertifika güven listesi güncellemelerini alan Windows Server sistemlerinde ek bir müdahale gerekmiyor. Bununla birlikte sistemlerin güncel listeyi aldığının doğrulanması öneriliyor.

Kontrol için yönetici yetkileriyle açılan PowerShell üzerinde aşağıdaki komut çalıştırılabilir:

certutil -verifyctl Disallowed | findstr /i "lastsynctime"

Komut çıktısındaki LastSyncTime değerinin 20 Ekim 2026 veya daha sonraki bir tarih olması bekleniyor.

Bu kontrol özellikle Veeam Backup Server, Windows tabanlı proxy ve diğer altyapı bileşenlerinde gerçekleştirilebilir.

İnternet Erişimi Olmayan Windows Sunucuları

Bazı kurumsal ortamlarda güvenlik politikaları gereği yedekleme sunucularının internet erişimi sınırlandırılıyor veya tamamen kapatılıyor. Bu sistemlerde otomatik sertifika güncellemeleri alınamayabileceğinden manuel işlem yapılması gerekebilir.

Öncelikle aşağıdaki Group Policy ayarı kontrol edilmeli:

Computer Configuration > Administrative Templates > System > Internet Communication Management > Internet Communication settings > Turn off Automatic Root Certificates Update

İnternet erişimi bulunan ayrı bir Windows sisteminde, yönetici yetkileriyle açılan PowerShell üzerinden güncel sertifika güven listeleri indirilir:

certutil -syncWithWU C:\CTL

İndirme sonrasında oluşan disallowedcert.sst dosyası, kurumun güvenli dosya transfer prosedürleri kullanılarak ilgili sunucuya aktarılır.

Dosyanın C:\CTL dizinine aktarıldığı varsayılarak aşağıdaki komut çalıştırılır:

Import-Certificate -FilePath C:\CTL\disallowedcert.sst -CertStoreLocation Cert:\LocalMachine\Disallowed

İşlem sonrasında ilgili sunucudaki Veeam servislerinin veya sunucunun yeniden başlatılması gerekiyor.

Bu işlemlerin üretim ortamlarında planlı bir bakım penceresinde uygulanması, ardından ilgili Veeam servislerinin ve yedekleme görevlerinin kontrol edilmesi öneriliyor.

Çözüm 2: Linux Tabanlı Veeam Bileşenleri

Veeam altyapılarında Linux tabanlı repository, proxy ve gateway sunucuları kullanılıyorsa ilgili Linux dağıtımının yayımladığı güvenlik güncellemeleri takip edilmeli.

Veeam, KB4952 duyurusunda Linux ortamlarına yönelik çözüm için işletim sistemi üreticilerinin güvenlik bildirimlerine yönlendiriyor.

İlgili kaynaklar:

Red Hat Enterprise Linux

Red Hat tarafından yayımlanan RHSB-2026-012 güvenlik duyurusu takip edilmeli. Rocky Linux ve AlmaLinux ortamlarında da ilgili Red Hat düzeltmelerini temel alan dağıtım güncellemeleri uygulanmalı.

https://access.redhat.com/security/vulnerabilities/RHSB-2026-012

Ubuntu

Ubuntu tarafından yayımlanan eMudhra CA güvenlik bilgilendirmesindeki güncel paketler ve öneriler uygulanmalı.

https://ubuntu.com/blog/emudhra-ca-compromise-fixes-available

Debian

Debian için DSA-6572-1 numaralı güvenlik duyurusu ve ilgili ca-certificates paket güncellemeleri takip edilmeli.

https://security-tracker.debian.org/tracker/DSA-6572-1

Linux ortamlarında uygulanacak paketler ve komutlar dağıtıma ve kullanılan sürüme göre değişebileceğinden, güncelleme öncesinde ilgili üreticinin resmi teknik dokümantasyonunun kontrol edilmesi gerekiyor.

Özellikle Veeam Hardened Repository kullanılan ortamlarda işletim sistemi güvenlik güncellemelerinin mevcut repository yapılandırmasıyla uyumlu şekilde gerçekleştirilmesi önemli.

Çözüm 3: Veeam Software Appliance ve Infrastructure Appliance

Veeam Software Appliance ve Veeam Infrastructure Appliance kullanan ortamlar için gerekli güvenlik güncellemesi Veeam tarafından hazırlanmış durumda.

Bu sistemlerde işletim sistemi Veeam tarafından yönetildiğinden, ilgili sertifikaların engellenmesini sağlayan güncelleme Veeam Updater aracılığıyla dağıtılıyor.

Güncellemenin manuel olarak kontrol edilmesi için aşağıdaki adımlar izlenebilir:

Veeam Host Management konsoluna giriş yapılır.
Updates > Check for updates seçeneği kullanılır.
Mevcut güncellemeler kontrol edilir.
Gerekli güncellemeler seçilerek Install Updates Now üzerinden yükleme başlatılır.
Özel güncelleme yapılandırmasına sahip diğer altyapı bileşenlerinde de aynı kontroller gerçekleştirilir.

Veeam, Appliance sistemlerinin sertifika güven deposunun manuel olarak değiştirilmemesini özellikle belirtiyor. Bu nedenle güncellemelerin üreticinin sunduğu resmi mekanizma üzerinden uygulanması gerekiyor.

Güncelleme Sonrasında Nelere Dikkat Edilmeli?

İlgili sertifikalar engellendikten sonra, bu sertifikalara dayalı güven zincirleri kullanan bazı harici servislerle gerçekleştirilen bağlantılarda TLS veya sertifika doğrulama hataları oluşabilir.

Veeam'in duyurusunda özellikle emSign ECC Root CA - G3 ve AAA Certificate Services kök sertifikalarına uzanan sertifika zincirleriyle ilgili olası hatalara dikkat çekiliyor.

Böyle bir durumla karşılaşılması halinde ilgili servisin sertifika zincirinin incelenmesi, gerekiyorsa hizmet sağlayıcı ile iletişime geçilerek geçerli ve güvenilir sertifika yapılandırmasının sağlanması öneriliyor.

Sertifika doğrulama kontrollerinin devre dışı bırakılması yerine sorunun kaynağının tespit edilerek giderilmesi, güvenli bağlantıların sürekliliği açısından önem taşıyor.

Güncelleme tamamlandıktan sonra özellikle Object Storage bağlantılarının, bulut servislerine erişimin, SMTP entegrasyonlarının ve kritik yedekleme işlerinin doğrulanması da faydalı olacaktır.

Veeam Yöneticileri İçin Önerilen Kontrol Süreci

KB4952 duyurusu kapsamında kurumların mevcut Veeam altyapılarını gözden geçirerek aşağıdaki kontrolleri gerçekleştirmelerini öneriyorum:

Altyapı envanteri: Veeam Backup Server, proxy, repository, gateway ve diğer yönetim bileşenlerinin hangi işletim sistemlerinde çalıştığı belirlenmeli.
Güncelleme doğrulaması: Windows sistemlerde sertifika güven listesinin güncelliği kontrol edilmeli, Linux sistemlerde ilgili dağıtımın güvenlik düzeltmeleri uygulanmalı ve Appliance ortamlarında Veeam Updater kontrol edilmeli.
Bağlantı ve operasyon kontrolleri: Güncellemeler sonrasında dış servis bağlantıları, yedekleme görevleri ve kritik bileşenlerin çalışma durumu doğrulanmalı.

Bu kontrollerin standart bakım ve güvenlik yönetimi süreçlerine dahil edilmesi, yalnızca mevcut duyuru açısından değil, ileride yaşanabilecek benzer sertifika güvenliği değişikliklerinin yönetimi açısından da fayda sağlayacaktır.

Sonuç

Veeam tarafından yayımlanan KB4952 duyurusu, eMudhra sertifika otoritesine ait bazı ara sertifikaların güvenlik nedeniyle iptal edilmesinin Veeam ortamlarına olası etkilerini ve çözüm yöntemlerini açıklıyor.

Mevcut bilgilendirmeye göre bu durum Veeam ürünlerinden kaynaklanan bir yazılım güvenlik açığı değil. Windows ve Linux tabanlı Veeam bileşenlerinde gerekli aksiyon, işletim sisteminin sertifika güven listesinin güncellenmesi. Veeam Software Appliance ve Infrastructure Appliance için ise ilgili güncelleme Veeam tarafından sunulmuş durumda.

Veeam'in yayımladığı teknik yönlendirmeler sayesinde sistem yöneticileri mevcut ortamlarını kontrol ederek gerekli güncellemeleri işletim sistemi veya Appliance seviyesinde uygulayabiliyor.

Kurumsal yedekleme altyapılarında sürekliliğin sağlanması için üretici güvenlik duyurularının düzenli takip edilmesi, güncellemelerin kontrollü şekilde uygulanması ve sonrasında kritik yedekleme süreçlerinin doğrulanması önemini koruyor.

Veeam altyapısı kullanan kurumların KB4952 duyurusunu incelemelerini ve ilgili kontrolleri gerçekleştirmelerini öneriyorum.

Resmi Kaynaklar

Veeam KB4952: Support Statement – Compromised eMudhra Intermediate CA Certificates

https://www.veeam.com/kb4952

Veeam Technical Documentation

https://helpcenter.veeam.com/

Red Hat Security Bulletin RHSB-2026-012

https://access.redhat.com/security/vulnerabilities/RHSB-2026-012

Ubuntu Security Advisory

https://ubuntu.com/blog/emudhra-ca-compromise-fixes-available

Debian Security Advisory DSA-6572-1

https://security-tracker.debian.org/tracker/DSA-6572-1

Bu içerik, Veeam tarafından 21 Ekim 2026 tarihinde yayımlanan KB4952 numaralı resmi teknik bilgilendirme esas alınarak hazırlanmıştır. İşlemler gerçekleştirilmeden önce güncel üretici dokümantasyonunun ve kurumun değişiklik yönetimi prosedürlerinin dikkate alınması önerilir.

DIABOLIKSS | TECH · PEOPLE · IDEAS