Cisco güvenlik duvarlarında sıfır gün: SSL VPN erişimi çöküyor

Cisco, 28 Ekim 2026'da kurumsal güvenlik duvarı yazılımlarında aktif olarak sömürülen bir sıfır gün açığı duyurdu. CVE-2026-76418 kodlu zafiyet, Cisco Secure Firewall ASA ve Secure Firewall Threat Defense (FTD) yazılımlarının Uzaktan Erişim SSL VPN bileşeninde bulunuyor ve CVSS 3.1 ölçeğinde 8.6 puanla "yüksek" seviyede derecelendirildi.

Açık, bir tünel grubunda ikincil kimlik doğrulama (secondary authentication) yapılandırıldığında devreye giren bir mantık hatasından kaynaklanıyor. Saldırganın geçerli bir VPN hesabına ihtiyacı yok: özel olarak hazırlanmış tek bir bağlantı isteği, cihazın beklenmedik şekilde yeniden başlamasına yol açıyor. Cisco'nun ürün güvenliği ekibi (PSIRT), zafiyetin Ekim 2026 içinde gerçek saldırılarda kullanıldığını doğruladı. Açığın kamuya açık bir istismar kodu henüz yayınlanmadı.

Neden önemli?

Bu zafiyet uzaktan kod çalıştırmaya veya veri sızdırmaya izin vermiyor; etkisi erişilebilirlik üzerinde. Ancak kurumsal ortamda bu fark pratikte çok şey ifade etmiyor. Cihaz yeniden başladığında o anda açık olan tüm uzaktan erişim oturumları ve site-to-site VPN tünelleri kopuyor. Şube bağlantısı güvenlik duvarı üzerinden geçen bir firma için bu, merkezle veri alışverişinin durması anlamına geliyor. Üstelik saldırı kimlik doğrulama öncesinde tetiklendiği için, güçlü parola veya çok faktörlü doğrulama politikaları koruma sağlamıyor.

Etkilenen sürüm aralığı geniş: ASA tarafında 9.16 ile 9.24 arası, FTD tarafında 7.0 ile 10.1 arası sürümler listede. Cisco'ya göre bulut tabanlı Cloud-delivered Firewall, cdFMC, Cisco Secure Access ve Secure Firewall Management Center yazılımları etkilenmiyor. Riskin oluşması için iki koşulun bir arada bulunması gerekiyor: en az bir arayüzde webvpn etkin olması ve bir tünel grubunda ya da DefaultWEBVPNGroup üzerinde ikincil kimlik doğrulama sunucu grubunun tanımlı olması.

Türkiye ve KOBİ tarafındaki karşılığı

İkincil kimlik doğrulama, Türkiye'de kurumsal ağlarda sık rastlanan bir yapılandırma. Uzaktan çalışan personeli, saha ekibi veya dış kaynaklı BT desteği olan firmalar, VPN girişine ikinci bir doğrulama katmanı eklemek için tam olarak bu özelliği kullanıyor. Yani güvenliği artırmak amacıyla yapılan bir yapılandırma, bu açık özelinde saldırı yüzeyini oluşturuyor.

Pratik sorun, KOBİ'lerde güvenlik duvarı yazılımının yıllarca güncellenmemiş olması. Cihaz çalıştığı sürece kimse dokunmuyor; üretici bülteni takip edilmiyor. Oysa bu zafiyet için tam bir geçici çözüm bulunmuyor. Cisco'nun önerdiği ara önlem, ikincil kimlik doğrulamayı geçici olarak kaldırmak — ki bu da VPN girişinin güvenlik seviyesini düşürüyor. Tek kalıcı çözüm yama uygulamak.

Kamer Bilişim olarak ne öneriyoruz?

• Önce maruz kalıp kalmadığınızı tespit edin. Güvenlik duvarınızda yalnızca giriş ekranında görünen tünel gruplarını değil, tüm tünel gruplarını ve DefaultWEBVPNGroup yapılandırmasını kontrol edin. İkincil kimlik doğrulama sunucu grubu tanımlı değilse ve webvpn kapalıysa bu açıktan etkilenmiyorsunuz.
• Yamayı planlı bir bakım penceresinde uygulayın. Cisco, her sürüm dalı için düzeltilmiş sürümler yayınladı — ASA tarafında 9.16.4.104, 9.18.4.96, 9.20.4.50, 9.22.3.200, 9.23.1.48 ve 9.24.1.27; FTD tarafında 7.0.11, 7.2.13, 7.4.9, 7.6.7, 7.7.14, 10.0.3 ve 10.1.1 sürümleri. Yükseltme öncesinde yapılandırma yedeğini alın ve geri dönüş adımını hazır tutun.
• Kritik bağlantılar için yedek yol tanımlayın. Tek güvenlik duvarına bağlı şube veya depo bağlantınız varsa, cihaz yeniden başladığında devreye girecek alternatif bir erişim yöntemi (ikinci hat, farklı bir uzaktan erişim kanalı) tanımlamak kesinti süresini belirgin şekilde kısaltır.

Güvenlik duvarı envanterinizin hangi sürümde çalıştığını bilmiyorsanız ya da yama planlamasında destek istiyorsanız, İstanbul Anadolu Yakası genelinde yerinde ve uzaktan destek veriyoruz. İletişim sayfasından bize ulaşabilirsiniz.

Kaynak: SecurityOnline, SOC Prime, Cisco Güvenlik Danışmanlığı (cisco-sa-asa-ftd-vpn-dos)