Cisco Secure Firewall ASA ve FTD yazılımlarındaki CVE-2026-76418 açığı, kimlik doğrulaması olmadan cihazın yeniden başlatılmasına imkân veriyor. Açık aktif olarak sömürülüyor ve CISA tarafından acil yama listesine alındı.
Cisco, kurumsal güvenlik duvarı yazılımlarında aktif olarak sömürülen bir sıfır gün açığı için 28 Ekim 2026'da güvenlik bildirimi yayımladı. CVE-2026-76418 kodlu zafiyet, Secure Firewall ASA ve Secure FTD yazılımlarının uzaktan erişim SSL VPN servisini etkiliyor. Kimlik doğrulaması yapmamış bir saldırgan, özel hazırlanmış tek bir istekle cihazı yeniden başlatabiliyor. Cisco'nun verdiği CVSS 3.1 puanı 8.6, yani "yüksek" seviye.
Açık tam olarak ne yapıyor?
Cisco zafiyeti CWE-690, yani kontrol edilmeyen dönüş değerinden kaynaklanan NULL pointer dereference olarak sınıflandırıyor. Saldırgan veri okuyamıyor veya kod çalıştıramıyor; Cisco gizlilik ve bütünlük etkisini "yok" olarak işaretlemiş. Etkinin tamamı erişilebilirlik tarafında: cihaz beklenmedik şekilde yeniden başlıyor. Pratikte bu, şirketin internet çıkışının ve uzaktan çalışan personelin VPN bağlantısının kesilmesi anlamına geliyor.
Her cihaz etkilenmiyor. Cisco'ya göre üç koşulun aynı anda sağlanması gerekiyor: cihazın zafiyetli bir sürümde çalışması, SSL VPN giriş servisinin bir arayüzde etkin olması ve kapsamdaki tünel grubunda secondary authentication tanımlı olması. Bulut tabanlı Firewall, Cloud-delivered Firewall Management Center, Secure Access ve Secure Firewall Management Center yazılımı etkilenmiyor.
Neden acil bir konu?
Cisco PSIRT, açığın Ekim 2026 içinde gerçek saldırılarda kullanıldığını doğruladı. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı CISA, zafiyeti 29 Ekim 2026'da Bilinen Sömürülen Zafiyetler (KEV) kataloğuna ekledi ve federal kurumlar için uyum son tarihini 1 Kasım 2026 olarak belirledi. KEV ölçeğinde bu oldukça kısa bir süre ve tehdidin ciddiye alındığını gösteriyor.
Kalıcı bir geçici çözüm bulunmuyor. Cisco'nun önerdiği önlemler secondary authentication'ı devre dışı bırakmaya dayanıyor ve şirketin kendi uyarısına göre bu, VPN'in güvenlik seviyesini düşürüyor. Doğru yol, yamalı sürüme geçmek.
Türkiye ve KOBİ tarafındaki karşılığı
ASA ve FTD, Türkiye'de orta ölçekli şirketlerin sınır güvenliğinde yaygın olarak kullanılıyor. Birçok KOBİ, şube ve saha personelinin uzaktan erişimini aynı cihaz üzerinden veriyor; ikinci doğrulama faktörünü de çoğunlukla tam olarak bu secondary authentication alanında tanımlıyor. Yani güvenliği artırmak için yapılan doğru bir yapılandırma, bu açık özelinde cihazı hedef hâline getiriyor.
Sonuç bir veri sızıntısı değil, kesinti. Operasyonu saat bazında ilerleyen denizcilik acenteleri, lojistik firmaları, inşaat ofisleri ve üretim tesislerinde güvenlik duvarının tekrar tekrar yeniden başlaması; sipariş, gümrük ve sevkiyat akışını doğrudan durdurur. Ayrıca KVKK'nın 12. maddesi veri sorumlusuna kişisel verilerin güvenliğini sağlama yükümlülüğü getiriyor; bilinen ve yayımlanmış bir zafiyetin yamalanmadan bırakılması, olası bir incelemede aleyhte değerlendirilebilir.
Kamer Bilişim olarak ne öneriyoruz?
- Önce envanter, sonra yama. Cihazlarınızda show version veya FMC üzerinden çalışan sürümü tespit edin; tünel gruplarında secondary authentication tanımlı mı kontrol edin. Cisco'nun bildirdiği ilk düzeltilmiş sürümler arasında ASA tarafında 9.20.4.50, 9.22.3.200 ve 9.24.1.27; FTD tarafında 7.2.13, 7.4.9 ve 7.6.7 yer alıyor. Yamayı iş saatleri dışında planlayın.
- SSL VPN giriş sayfasını tüm dünyaya açık bırakmayın. Uzaktan erişim yalnızca Türkiye'den veya bilinen IP bloklarından geliyorsa coğrafi ve IP bazlı kısıtlama uygulayın. Yönetim arayüzünü internete kesinlikle açmayın.
- Kesinti senaryosunu şimdi tanımlayın. Güvenlik duvarı yeniden başladığında kim haberdar olacak, yedek internet hattı devreye nasıl girecek, kritik personel hangi alternatif yöntemle bağlanacak? Bu üç sorunun yazılı bir cevabı yoksa yama günü de kriz günü olur.
Kullandığınız güvenlik duvarının bu açıktan etkilenip etkilenmediğinden emin değilseniz, envanter kontrolü ve yama planlaması için iletişim sayfamızdan bize ulaşabilirsiniz. İstanbul Anadolu Yakası genelinde yerinde, diğer lokasyonlarda uzaktan destek veriyoruz.
Kaynak: SOC Prime; Cisco güvenlik bildirimi cisco-sa-asaftd-tunnel-dos-s6mgkb75 (28 Ekim 2026) ve CISA Known Exploited Vulnerabilities kataloğu.
Kaynak: SOC Prime