SonicWall güvenlik duvarlarında MFA atlatma açığı istismarda

SonicWall, Gen7 ve Gen8 güvenlik duvarlarının SSL VPN servisinde kimlik doğrulamanın atlatılmasına izin veren bir zafiyeti yamaladı. CVE-2026-19868 kodlu açık, ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı CISA tarafından 6 Kasım 2026'da aktif istismar edilen zafiyetler (KEV) kataloğuna eklendi.

Açık tam olarak ne yapıyor?

Zafiyet yalnızca SSL VPN oturum açma akışında SAML kimlik doğrulaması etkin olan cihazları ilgilendiriyor. SonicWall'ın SNWLID-2026-0014 numaralı bildirimine göre, alternatif bir oturum açma yöntemi için geçerli kullanıcı bilgisine sahip bir kişi SAML denetimlerini ve bu akışta zorunlu kılınan çok faktörlü doğrulamayı (MFA) atlatabiliyor. Pratikte şu anlama geliyor: kimlik sağlayıcınızda MFA zorunlu olsa bile VPN girişi yalnızca kullanıcı adı ve parolayla tamamlanabiliyor.

Açık CWE-308 (tek faktörlü kimlik doğrulama) sınıfında ve CVSS puanı 7.1 olarak raporlandı (Cyber Security News). Saldırganın geçerli bir kullanıcı bilgisine ihtiyacı var; parola olmadan çalışan bir giriş değil. Etkilenen sürümler Gen7 için 7.3.3-7015 ve öncesi, Gen8 için 8.2.2-8015 ve öncesi. Düzeltme 7.3.4-7013 ve 8.2.3-8015 sürümlerinde yayımlandı; geçici bir çözüm yöntemi bulunmuyor, tek yol firmware güncellemesi. Destek dışına çıkmış Gen6 cihazlar bu listede yer almıyor.

Neden önemli?

MFA'nın tüm varlık sebebi, sızdırılmış ya da tahmin edilmiş bir parolanın tek başına yeterli olmaması. Bu açık tam olarak o güvenceyi devre dışı bırakıyor. SonicWall, PSIRT ekibinin olası istismara işaret eden bir ihbarı incelediğini belirtti; CISA ise aktif istismar kanıtına dayanarak kaydı KEV listesine aldı. Her iki kurum da henüz uzlaşma göstergesi (IoC) paylaşmadı, saldırganların erişim sonrası ne yaptığı bilinmiyor. CISA, ABD'deki federal kurumlar için son tarihi 20 Kasım 2026 olarak belirledi. Bu tarih Türkiye'deki şirketler için bağlayıcı değil ama durumun aciliyetini gösteriyor.

Türkiye ve KOBİ tarafındaki karşılığı

SSL VPN, pandemi sonrası uzaktan ve şantiye-liman gibi saha lokasyonlarından çalışmanın standart yöntemi oldu. SonicWall da Türkiye'de KOBİ ve orta ölçekli şirketlerin kenar güvenlik cihazı tercihleri arasında sık karşılaşılan markalardan biri. Dolayısıyla "bizde MFA var, VPN güvenli" varsayımıyla ilerleyen çok sayıda kurum, aslında yamanmamış bir cihazın arkasında duruyor olabilir.

Hukuki tarafı da var: VPN üzerinden yetkisiz bir erişim kişisel veri ihlaline dönüşürse, 6698 sayılı Kanun'un 12. maddesi gereği ihlalin en kısa sürede ve 72 saat içinde KVKK'ya bildirilmesi yükümlülüğü doğuyor. Yama yönetimi bu nedenle yalnızca teknik değil, uyum başlığı altında da takip edilmesi gereken bir süreç.

Kamer Bilişim olarak ne öneriyoruz?

• Envanteri çıkarın, yamayı planlı uygulayın. Cihaz modelini, çalışan firmware sürümünü ve SSL VPN'de SAML'ın açık olup olmadığını yazılı olarak tespit edin. Etkilenen sürümdeyseniz güncellemeyi bakım penceresinde, yapılandırma yedeği alarak uygulayın.
• Geriye dönük VPN kayıtlarını inceleyin. Kimlik sağlayıcısında eşleşen bir oturum açma ve MFA doğrulaması olmadan başarılı olan SSL VPN girişlerini arayın. Böyle bir kayıt varsa ilgili hesapların parolasını sıfırlayın ve o oturumların hangi sunucu ve paylaşımlara eriştiğini çıkarın.
• Giriş yollarını sadeleştirin. Kullanılmayan alternatif kimlik doğrulama yöntemlerini (yerel kullanıcı, ikincil LDAP grupları) kapatın, yönetim arayüzünü internete açık bırakmayın ve VPN'den gelen trafiği ağ segmentasyonuyla sınırlayın. Tek bir kontrolün atlatılması tüm ağı açmamalı.

Güvenlik duvarınızın hangi sürümde olduğunu ve bu açıktan etkilenip etkilenmediğini bilmiyorsanız, İstanbul Anadolu Yakası genelinde yerinde ve uzaktan destek veren ekibimiz envanter çıkarma, yama planlama ve VPN kayıt incelemesi konusunda destek olabilir. İletişim sayfasından bize ulaşabilirsiniz.

Kaynak: Help Net Security, Cyber Security News, CISA Known Exploited Vulnerabilities Catalog, SonicWall PSIRT (SNWLID-2026-0014)