Firewall, mail ağ geçidi ve yedekleme sunucusunda aktif saldırı

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), 14 Ekim 2026'da dört zafiyeti birden "aktif olarak sömürülen zafiyetler" kataloğuna (KEV) ekledi. Listedeki ürünler, kurumsal ağların tam da en kritik üç noktasında duruyor: güvenlik duvarı, e-posta ağ geçidi ve yedekleme sunucusu. Federal kurumlar için verilen düzeltme son tarihi 17 Ekim 2026 olarak belirlendi.

Hangi ürünler etkileniyor?

• Palo Alto Networks PAN-OS - CVE-2026-0322 (CVSS 8.6): Yönetim arayüzündeki bu açık, ağ erişimi olan kimliği doğrulanmış bir saldırganın güvenlik duvarında root yetkisiyle kod çalıştırmasına izin veriyor. PA-Serisi ve VM-Serisi güvenlik duvarları ile Panorama etkileniyor; Cloud NGFW ve Prisma Access etkilenmiyor. Üretici "çok sınırlı sayıda" sömürü tespit ettiğini bildirdi. Bilinen bir geçici çözüm yok.
• Cisco Secure Email Gateway - CVE-2026-76519 (CVSS 9.8): E-posta eklerinin hatalı işlenmesinden kaynaklanan dizin geçişi açığı, özel hazırlanmış bir ek aracılığıyla işletim sistemine dosya yazılmasına ve root yetkisiyle komut çalıştırılmasına yol açabiliyor. Açık, dosya itibar servisi etkinken ve Content Scanner Tools sürümü 25.3.0.5525'ten eskiyken geçerli.
• Ahsay AhsayCBS - CVE-2026-105133 ve CVE-2026-105134: Yedekleme sunucusu yazılımındaki kimlik doğrulama atlatma ve komut enjeksiyonu açıkları zincirleme kullanılıyor. v7, v8, v9 ve v10 sürümleri etkileniyor; saldırganlar internete açık sunuculara web shell ve kripto madencisi yerleştiriyor.

Neden önemli?

Bu dört açığın ortak noktası, hepsinin ağın dış kabuğunda yer alması. Güvenlik duvarının yönetim arayüzü, e-posta ağ geçidi ve yedekleme sunucusu; klasik "içeriden bir kullanıcı kötü bir ek açtı" senaryosundan farklı olarak, kullanıcı hatası gerektirmeden doğrudan hedef alınabilen bileşenler. Üstelik ikisi de root yetkisine çıkıyor, yani saldırgan ele geçirdiği cihazda log silebilecek konumda oluyor. Cisco, bu nedenle yöneticilerin cihazın kendi kayıtlarına değil, dış ağ ve güvenlik duvarı kayıtlarına bakarak beklenmedik veri çıkışı aramasını öneriyor.

Yedekleme sunucusunun hedefte olması ayrıca dikkat çekici. Fidye yazılımı operasyonlarının ilk adımı uzun süredir yedekleri devre dışı bırakmak; yedekleme yazılımının kendisindeki bir açığın aktif sömürülmesi bu eğilimle örtüşüyor.

Türkiye ve KOBİ tarafındaki karşılığı

CISA'nın 17 Ekim son tarihi yalnızca ABD federal kurumlarını bağlıyor; Türkiye'deki şirketler için hukuki bir yükümlülük doğurmuyor. Ancak KEV kataloğu, "bu açık teorik değil, sahada kullanılıyor" anlamına gelen pratik bir öncelik listesi olarak iş görüyor.

Türkiye'deki KOBİ'lerde sık rastlanan tablo şu: güvenlik duvarı yıllar önce kurulmuş ve firmware'i hiç güncellenmemiş, yönetim arayüzü uzaktan erişim kolaylığı için internete açık bırakılmış, yedekleme sunucusu da aynı ağda ve aynı ihmal düzeyinde duruyor. Bu üç koşulun bir arada bulunduğu bir yapıda, yukarıdaki açıklardan biri tek başına tüm ağı ele geçirmeye yetebilir.

Kamer Bilişim olarak ne öneriyoruz?

• Yönetim arayüzlerini internete kapatın. Güvenlik duvarı, sunucu yönetim panelleri ve yedekleme konsolları dışarıdan erişilebilir olmamalı. Uzaktan yönetim gerekiyorsa VPN veya atlama sunucusu (jump box) üzerinden, güvenilir IP kısıtıyla verin. Palo Alto'nun bu açık için önerdiği azaltıcı önlem de budur.
• Firmware ve sürüm envanteri çıkarın. Sahadaki her güvenlik duvarı, mail ağ geçidi ve yedekleme sunucusunun model ve sürüm bilgisini yazılı bir listeye dökün, üretici bültenleriyle karşılaştırın. Hangi cihazda hangi sürümün çalıştığını bilmeyen bir şirket, yamanın kendisini ilgilendirip ilgilendirmediğini de bilemez.
• Yedeği ağdan ayırın ve geri dönüşü test edin. En az bir yedek kopyası üretim ağından erişilemeyen, değiştirilemez (immutable) bir konumda tutulmalı. Daha da önemlisi: geri yükleme tatbikatı yapılmamış bir yedek, yedek sayılmaz.

Güvenlik duvarı, e-posta güvenliği ve yedekleme yapınızın güncel zafiyetler karşısında nerede durduğunu birlikte değerlendirebiliriz. İstanbul Anadolu Yakası genelinde yerinde, diğer bölgelerde uzaktan destek veriyoruz; iletişim sayfasından bize ulaşabilirsiniz.

Kaynak: Help Net Security (15 Ekim 2026), CISA Known Exploited Vulnerabilities kataloğu, Palo Alto Networks ve Cisco güvenlik bültenleri