WHMCS Faturalama Yazılımında Ciddi Güvenlik Açıkları Tespit Edildi

WebPros International tarafından bulut hizmeti ve barındırma sağlayıcılarına sunulan WHMCS faturalama yönetim yazılımında ciddi güvenlik açıkları belirlendi. Şirket, bu sorunları gidermek için güncellemeler yayınladı.

WebPros International, 3 Eylül 2026 tarihinde yayınladığı güvenlik bildirimiyle farklı sürümleri etkileyen iki ayrı güvenlik açığını duyurdu. Her iki açık da şirketin güvenlik programı aracılığıyla raporlandı.

CVE-2026-67399 olarak tanımlanan açık, güvenilmeyen verilerin serileştirmesinden kaynaklanıyor. Belirli koşullar altında, herhangi bir kimlik doğrulaması gerekmeksizin sunucu üzerinde rastgele kodların çalıştırılmasına izin verebilir. Bu durum, ürünün kurulu olduğu ortamın ve ilgili verilerin ihlal edilme riskini taşıyor. HackerOne, bu açığın CVSSv4.0 temel puanını 9.3 olarak belirledi ve önem derecesini kritik olarak sınıflandırdı.

Diğer bir açık olan CVE-2026-67398 ise 2CheckOut ödeme ağ geçidindeki yetkilendirme işleminin eksikliğinden kaynaklanıyor. Bu açık, kimlik doğrulaması olmadan müşterilerin isimleri, adresleri, e-posta adresleri ve telefon numaraları gibi kişisel bilgilerin elde edilmesine olanak tanıyor. HackerOne, bu açığın CVSS temel değerini 8.2 olarak belirleyerek önem derecesini yüksek olarak değerlendirdi.

WebPros, söz konusu açıkları düzelten WHMCS 9.0.8 ve WHMCS 8.13.7 sürümlerini piyasaya sürdü ve kullanıcıları güncellemeleri yapmaya çağırdı. Ayrıca şirket, CVE-2026-67398 açığı için geçici bir çözüm olarak 2CheckOut modülünün devre dışı bırakılmasını önerdi.