Cisco'nun ASA ve FTD güvenlik duvarlarındaki CVE-2026-76418 kodlu SSL VPN zafiyeti, kimlik doğrulaması olmadan cihazı yeniden başlatmaya zorluyor. CISA açığı 29 Ekim'de aktif sömürülen açıklar kataloğuna ekledi.
Cisco, 28 Ekim 2026 tarihli güvenlik bildiriminde Secure Firewall ASA ve Secure Firewall Threat Defense (FTD) yazılımlarını etkileyen bir zafiyeti duyurdu. CVE-2026-76418 kodlu açığın CVSS 3.1 puanı 8.6 olarak belirlendi. Cisco'nun ürün güvenliği ekibi PSIRT, açığın ekim ayı içinde gerçek saldırılarda kullanıldığını doğruladı. ABD siber güvenlik ajansı CISA, zafiyeti 29 Ekim 2026'da aktif olarak sömürülen açıklar (KEV) kataloğuna ekledi ve federal kurumlar için son yama tarihini 1 Kasım 2026 olarak belirledi. Bu kadar kısa bir süre tanınması, saldırıların devam ettiğine işaret ediyor.
Açık tam olarak ne yapıyor?
Sorun, uzaktan erişim SSL VPN servisinin ikincil kimlik doğrulama (secondary authentication) mantığındaki bir hatadan kaynaklanıyor. İnternet üzerinden cihaza erişebilen ve hiçbir kimlik bilgisine sahip olmayan bir saldırgan, VPN oturum açma arayüzüne özel hazırlanmış bir istek göndererek güvenlik duvarının beklenmedik şekilde yeniden başlamasını sağlayabiliyor. İstek tekrarlandığında cihaz sürekli yeniden başlama döngüsüne girebiliyor.
Cisco'nun değerlendirmesine göre açık veri sızdırmaya veya cihaz üzerinde kod çalıştırmaya izin vermiyor; etkisi yalnızca hizmet kesintisi ile sınırlı. Ancak bu "düşük riskli" anlamına gelmiyor: söz konusu cihaz çoğu kurumda internet çıkışını, şube bağlantılarını ve uzaktan çalışan personelin VPN erişimini taşıyan tek nokta. O cihaz düştüğünde ofis de, saha ekibi de çevrimdışı kalıyor.
Hangi cihazlar etkileniyor?
Cisco'ya göre bir cihazın savunmasız olması için üç koşulun aynı anda bulunması gerekiyor:
- Yamalanmamış bir ASA veya FTD sürümü çalışıyor olması
- Uzaktan erişim SSL VPN oturum açma servisinin dışarıdan erişilebilir olması (yapılandırmada webvpn etkin)
- Bir tünel grubunda ikincil kimlik doğrulama tanımlı olması — tünel grubu listesi açıkken varsayılan DefaultWEBVPNGroup dahil
Bulut tabanlı Cisco Secure Access, Cloud-delivered Firewall ve Secure Firewall Management Center yazılımı etkilenmiyor. Cisco, düzeltmeyi ASA tarafında 9.16.4.104, 9.18.4.96, 9.20.4.50, 9.22.3.200, 9.23.1.48 ve 9.24.1.27; FTD tarafında ise 7.0.11, 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3 ve 10.1.1 sürümleriyle yayımladı. Tam bir geçici çözüm bulunmuyor; Cisco yalnızca ikincil kimlik doğrulamanın kapatılmasını geçici önlem olarak öneriyor, ki bu da VPN'in kimlik doğrulama gücünü zayıflatıyor.
Türkiye ve KOBİ tarafındaki karşılığı
Türkiye'de orta ölçekli pek çok işletme, sınır güvenliğini ve uzaktan erişimi tek bir kurumsal güvenlik duvarı üzerinden yürütüyor. Bu cihazlar genellikle kurulduktan sonra "çalışıyorsa dokunma" mantığıyla yıllarca aynı sürümde bırakılıyor. Oysa bu zafiyet, saldırganın hiçbir parola bilmeden yalnızca dışarıya açık VPN arayüzüne erişerek sonuç alabildiğini gösteriyor.
KVKK'nın 6698 sayılı Kanun'un 12. maddesi kapsamında aradığı teknik tedbirler yalnızca veriye yetkisiz erişimi engellemeyi değil, verinin ve sistemlerin erişilebilirliğini korumayı da kapsıyor. Üretim tesisinde, lojistik operasyonunda veya klinikte saatlerce süren bir ağ kesintisi, hem operasyonel kayıp hem de uyum tarafında açıklanması gereken bir olay anlamına geliyor.
Kamer Bilişim olarak ne öneriyoruz?
- Önce envanteri çıkarın, sonra yamayı planlayın. Kurumunuzda hangi marka ve model güvenlik duvarının, hangi yazılım sürümüyle çalıştığını yazılı olarak bilmiyorsanız yama yönetimi de yapılamaz. ASA veya FTD kullanıyorsanız çalışan sürümü Cisco'nun yayımladığı düzeltilmiş sürüm listesiyle karşılaştırın.
- VPN arayüzünü tüm dünyaya açık bırakmayın. Uzaktan erişim gerekiyorsa coğrafi kısıtlama, bilinen IP blokları ve oturum sayısı limitleri ile yüzeyi daraltın. Yönetim arayüzlerinin internetten erişilebilir olmaması gerektiğini her denetimde yeniden hatırlatıyoruz.
- Kesinti senaryosunu önceden tatbik edin. Güvenlik duvarı düştüğünde kimin müdahale edeceği, yedek bir internet hattının ve yapılandırma yedeğinin bulunup bulunmadığı kriz anında değil, öncesinde netleşmeli. Yapılandırma yedeklerinin düzenli ve cihaz dışında saklanması, geri dönüş süresini saatlerden dakikalara indiriyor.
Ağ altyapınızdaki güvenlik duvarı ve VPN yapılandırmasının gözden geçirilmesini, sürüm envanterinin çıkarılmasını veya yama planının hazırlanmasını istiyorsanız iletişim sayfamız üzerinden bize ulaşabilirsiniz. İstanbul Anadolu Yakası genelinde yerinde, diğer bölgelerde uzaktan destek sağlıyoruz.
Kaynak: Network World, SOC Prime, Cisco güvenlik bildirimi cisco-sa-asaftd-tunnel-dos-s6mgkb75
Kaynak: Network World