Cisco'nun ASA ve Secure Firewall Threat Defense yazılımlarındaki bir açık, kimlik doğrulaması olmadan güvenlik duvarının yeniden başlatılmasına imkân veriyor. Cisco, zafiyetin Ekim 2026'da gerçek saldırılarda kullanıldığını doğruladı.
Cisco, kurumsal ağlarda yaygın olarak kullanılan Adaptive Security Appliance (ASA) ve Secure Firewall Threat Defense (FTD) yazılımlarında, uzaktan erişim SSL VPN servisini etkileyen bir zafiyeti duyurdu. CVE-2026-76418 kodlu açık, kimlik doğrulaması yapmamış bir saldırganın özel hazırlanmış istek göndererek güvenlik duvarını beklenmedik şekilde yeniden başlatmaya zorlamasına imkân veriyor. Cisco'nun bildirimine göre açık CVSS v3.1 ölçeğinde 8.6 puanla "yüksek" seviyede derecelendirildi ve Cisco PSIRT ekibi Ekim 2026'da zafiyetin aktif olarak istismar edildiğini tespit etti.
Açık hangi koşulda tetikleniyor?
Sorunun kaynağı, uzaktan erişim SSL VPN servisindeki mantık hataları. Bir cihazın etkilenmesi için iki koşulun birlikte sağlanması gerekiyor: en az bir arayüzde webvpn özelliğinin etkin olması ve herhangi bir tünel grubunda ya da DefaultWEBVPNGroup üzerinde ikincil kimlik doğrulama (secondary-authentication-server-group) tanımlı olması. Cisco'nun güvenlik bildiriminde, zafiyetli kod yoluna ulaşmak için başarılı bir VPN oturumu açmanın gerekmediği açıkça belirtiliyor. Yani saldırganın geçerli bir kullanıcı adına veya parolaya ihtiyacı yok.
Cisco'nun yayımladığı listeye göre ASA yazılımının 9.16 ile 9.24, FTD yazılımının ise 7.0 ile 10.1 arasındaki sürümleri etkileniyor. Bulut üzerinden sunulan Cloud-delivered Firewall, cdFMC ve Secure Access ürünlerinin etkilenmediği bildirildi. Düzeltilmiş sürümler arasında ASA tarafında 9.16.4.104, 9.18.4.96, 9.20.4.50, 9.22.3.200, 9.23.1.48 ve 9.24.1.27; FTD tarafında ise 7.0.11, 7.2.13, 7.4.9, 7.6.7, 7.7.14 ve 10.0.3 yer alıyor.
Neden önemli?
Bu zafiyet veri sızdırmaya değil, hizmet kesintisine yol açıyor. Ancak kurumsal bir ağda güvenlik duvarının yeniden başlaması yalnızca VPN kullanıcılarını etkilemez; o cihazın üzerinden geçen internet çıkışı, şubeler arası bağlantı ve çoğu zaman sunucu erişimi de durur. Saldırgan isteği tekrarladığında cihaz art arda yeniden başlayabileceği için pratikte kalıcı bir kesinti tablosu ortaya çıkıyor.
Cisco tam bir geçici çözüm bulunmadığını, yama uygulanana kadar ikincil kimlik doğrulamanın devre dışı bırakılmasının tek hafifletici önlem olduğunu belirtiyor. ABD'li siber güvenlik kurumu CISA da 6 Kasım 2026 tarihli duyurusuyla zafiyeti "Bilinen İstismar Edilen Zafiyetler" kataloğuna ekledi.
Türkiye ve KOBİ tarafındaki karşılığı
Türkiye'de üretim tesislerinden denizcilik ve lojistik firmalarına, plaza ofislerinden kliniklere kadar pek çok kurum, şube bağlantısı ve uzaktan çalışma için ASA ya da FTD tabanlı SSL VPN kullanıyor. İkincil kimlik doğrulama çoğu kurumda güvenliği artırmak için devreye alınmış bir yapılandırma; bu açıkta cihazı riske atan koşul da tam olarak bu yapılandırmanın varlığı. Dolayısıyla güvenlik tarafında daha olgun davranan kurumlar bu kez daha fazla etkileniyor.
Kesintinin mevzuat tarafında da karşılığı var. 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12. maddesi veri sorumlusuna kişisel verilerin güvenliğini sağlama yükümlülüğü getiriyor ve verilere erişilebilirlik bu güvenliğin bir parçası. Yaması yayımlanmış ve kamuya açıklanmış bir zafiyetin aylarca kapatılmamış olması, olası bir incelemede gerekli teknik tedbirin alınmaması olarak değerlendirilebilir.
Kamer Bilişim olarak ne öneriyoruz?
- Önce koşulu doğrulayın, sonra yamayı planlayın. Güvenlik duvarınızda webvpn etkin mi ve herhangi bir tünel grubunda ikincil kimlik doğrulama tanımlı mı kontrol edin. İkisi birden varsa cihaz etkilenen gruptadır ve yama önceliklendirilmelidir. Sürüm bilgisini Cisco'nun bildirimindeki düzeltilmiş sürüm listesiyle karşılaştırın.
- Yama penceresine kadar ikincil kimlik doğrulamayı geçici olarak kaldırın. Cisco'nun önerdiği hafifletici önlem bu. Ancak bu adım çok faktörlü doğrulamayı zayıflattığı için geçici olmalı, kayıt altına alınmalı ve mümkünse eş zamanlı olarak VPN erişimini kaynak IP ile sınırlandırmalısınız.
- VPN arayüzünü yönetim arayüzünden ayırın ve izleyin. Güvenlik duvarının yönetim erişimi internete açık olmamalı, beklenmedik yeniden başlatmalar için syslog ve uptime takibi kurulmalıdır. Cihazın ani yeniden başlaması bu zafiyette ilk ve çoğu zaman tek belirtidir.
Güvenlik duvarı envanterinizin çıkarılması, etkilenen cihazların tespiti ve kesintiyi en aza indirecek bir yama planının hazırlanması için iletişim sayfamızdan bize ulaşabilirsiniz. İstanbul Anadolu Yakası genelinde yerinde, diğer lokasyonlarda uzaktan destek veriyoruz.
Kaynak: Cisco Security Advisory (cisco-sa-asaftd-tunnel-dos-s6mgkb75), CISA Known Exploited Vulnerabilities Catalog, Singapur Siber Güvenlik Ajansı (CSA) Uyarısı AL-2026-159
Kaynak: Cisco PSIRT / CSA Singapore