CVE-2026-26191

Fleet, açık kaynaklı bir cihaz yönetim yazılımıdır. Versiyon 4.81.0 öncesinde, Fleet'in yazılım yükleyici hattındaki bir güvenlik açığı, özel olarak hazırlanmış bir yazılım paketinin, kaldırma işlemi tetiklendiğinde yönetilen uç noktalarda root (macOS/Linux) veya SYSTEM (Windows) yetkileriyle rastgele komutlar çalıştırmasına izin verebilir. Bir yazılım paketi (.pkg, .deb, .rpm, .exe veya .msi) Fleet'e yüklendiğinde, paket ikili dosyasından meta veriler ayıklanır ve kaldırma betikleri oluşturmak için kullanılır. Etkilenen versiyonlarda, bu meta veriler oluşturulan betiklere dahil edilmeden önce uygun şekilde temizlenmemektedir. Meta veri alanlarında kötü amaçlı değerler içeren özel olarak hazırlanmış bir paket, kaldırma betiği yönetilen uç noktalarda çalıştığında istenmeyen komut yürütülmesine neden olabilir. Versiyon 4.81.0 bir yama içermektedir. Hemen yükseltme yapılması mümkün değilse, yöneticiler güvenilmeyen veya doğrulanmamış kaynaklardan elde edilen yazılım paketlerini yüklemekten kaçınmalıdır. Ayrıca yöneticiler, otomatik olarak oluşturulan kaldırma betiklerini dağıtımdan önce manuel olarak inceleyebilir ve düzenleyebilir.