GIMP 3.2.2’nin APNG ayrıştırıcısında, tampon ayrılmadan önce yapılan işlemde tamsayı taşması oluşabiliyordu. ZDI-26-462, kusurun etkilenen kurulumlarda uzaktan kod çalıştırmaya yol açabileceğini belirtti. Kullanıcının kötücül dosyayı açması veya ilgili sayfayı ziyaret etmesi gerekiyordu.
CVE-2026-18309 açığı CWE-190 olarak sınıflandırdı; etkilenen sürüm 3.2.2, CVSS 3.0 skoru 7,8 oldu. ZDI bulguyu Anonymous adına bağladı ve ZDI-CAN-29401 numarasını kullandı.
On CVE aynı bildirime alındı
CVE kaydı 20 Ağustos’ta yayımlandı. Siber Güvenlik Başkanlığı, TR-26-0888 sayılı bildirimde GIMP için 18309’dan 18300’e kadar on CVE’yi birlikte duyurdu.
ZDI notu 29 Temmuz’da açılmıştı; Başkanlık bildirimi 21 Ağustos’ta geldi. Kayıtların ortak konusu APNG dosyalarının ayrıştırılmasıydı. Güvenilmeyen APNG dosyalarının açılmaması ve yayımlanan düzeltmelerin uygulanması gerekiyordu.
Dosya açma davranışı saldırı yüzeyini oluşturuyor
GIMP 3.2.2’deki APNG ayrıştırma kusurunun kullanılabilmesi için kötücül dosyanın açılması veya ilgili içeriğin tarayıcıda görüntülenmesi gerekiyor. Bu koşul, uygulamanın güncel tutulmasının yanında güvenilmeyen APNG dosyalarının açılmamasını da önemli hale getiriyor.
On CVE’nin aynı APNG bildirimi altında duyurulması, 18309 kaydının tek başına tüm kusurları temsil ettiği anlamına gelmiyor. Kullanıcılar GIMP için yayımlanan düzeltmeleri topluca uygulamalı ve güvenilmeyen görsel dosyalarını izole ortamda değerlendirmeli.