Zyxel GS1900 switch'lerde yeni kritik açık: eski yama eksik kaldı

Zyxel, yaygın olarak kullanılan GS1900 serisi yönetilebilir switch ailesinde yeni bir kritik güvenlik açığı olduğunu doğruladı. 3 Kasım 2026 tarihli duyuruda yayımlanan CVE-2026-107441 kodlu açık, cihazların web yönetim arayüzündeki yığın tabanlı bellek taşması hatasından kaynaklanıyor. Açığı bulan donanım güvenliği firması Binarly, zafiyeti 9.8 ile kritik seviyede derecelendirdi.

Olayın en dikkat çeken tarafı, bu açığın tamamen yeni bir sorun olmaması. Zyxel, aynı bileşendeki benzer bir zafiyet için 16 Haziran 2026'da CVE-2026-7273 kodlu bir yama yayımlamıştı. Binarly'nin 28 Eylül 2026'da yaptığı incelemede, o yamanın yayımlandığı on firmware sürümünün tamamının hâlâ sömürülebilir durumda olduğu görüldü: yama bir sayı kontrolü eklemiş, ancak hatanın kaynağındaki güvensiz kopyalama işlemini yerinde bırakmıştı. Zyxel yeni açığı 11 Ekim'de doğruladı, düzeltmeyi 22 Ekim'de yayına aldı ve resmî duyuruyu 3 Kasım'da paylaştı.

Açık neden önemli?

İlk zafiyet teoride kalmadı. Tehdit istihbaratı firması GreyNoise, 17 Ağustos 2026 civarında tek bir saldırgan grubunun 48 ülkede 996 GS1900 switch'ini ele geçirdiğini raporladı. Saldırganlar cihaz yapılandırma dosyalarını, özetlenmiş (hash'lenmiş) root parolalarını ve ağ bilgilerini çaldı. CVE-2026-7273, ABD siber güvenlik ajansı CISA'nın "aktif sömürülen açıklar" kataloğuna 21 Eylül 2026'da eklendi.

Bir switch'in ele geçirilmesi, tek bir cihazın kaybı değildir. Switch ağın omurgasıdır; yapılandırmasına erişen bir saldırgan VLAN yapısını, port eşlemelerini ve yönetim ağının adreslerini öğrenir. Çalınan root parola özetleri kırıldığında ya da aynı parola başka cihazlarda tekrar kullanıldığında saldırı ağın tamamına yayılabilir.

Türkiye ve KOBİ tarafındaki karşılığı

GS1900 serisi, fiyat-performans dengesi nedeniyle Türkiye'de ofis, plaza katı, klinik, acente ve küçük üretim tesisi ağlarında çok sık tercih edilen bir ürün grubudur. Bu cihazlar genellikle bir kez kurulur ve yıllarca dokunulmaz; firmware güncellemesi çoğu KOBİ'de düzenli bir süreç değildir.

İkinci risk, yönetim arayüzünün internete açık bırakılmasıdır. Uzaktan erişim kolaylığı için switch'in web paneline dışarıdan erişim verilmesi, bu açığın doğrudan sömürülebilir hale gelmesi anlamına gelir. KVKK açısından da önemli bir nokta var: ağ cihazından sızan yapılandırma ve kimlik bilgileri sonrasında kişisel veri içeren sistemlere erişim sağlanırsa, bu bir veri ihlali bildirim yükümlülüğü doğurur.

Üçüncü ve en sinsi risk, yamanın yeterli sanılmasıdır. Haziran güncellemesini uygulamış ve işi bitmiş sayan bir işletme, Ekim sonuna kadar kendini korunmuş sanarak açık bir cihazla çalışmaya devam etti. Bu nedenle "güncelledik" demek yetmez; hangi sürümün yüklü olduğunun kayıt altında olması gerekir.

Kamer Bilişim olarak ne öneriyoruz?

• Firmware sürümünü hemen kontrol edin ve ".3" sürümüne yükseltin. Haziran yamasıyla gelen ".2" ile biten sürümler bu açığa karşı korumasızdır. Zyxel'in 22 Ekim 2026 ve sonrası yayımladığı ".3" firmware'ine geçmeden iş bitmiş sayılmaz.
• Switch yönetim arayüzünü internetten tamamen kapatın. Yönetim erişimi yalnızca ayrılmış bir yönetim VLAN'ı veya VPN üzerinden mümkün olmalı. Güvenlik duvarı kuralları bu erişimi IP bazında sınırlamalı.
• Cihaz internete açık kaldıysa parolaları ele geçirilmiş kabul edin. Fabrika ayarlı ve tekrar kullanılan parolaları değiştirin, yapılandırma değişikliklerini ve yönetim arayüzü erişim kayıtlarını geriye dönük inceleyin.

Ağınızdaki switch, firewall ve sunucu envanterinin firmware durumunu düzenli olarak takip edilen bir süreç haline getirmek, bu tür açıkların size ulaşmadan kapanmasını sağlar. İstanbul Anadolu Yakası genelinde ve uzaktan destekle ağ altyapısı denetimi ve bakım anlaşması hizmeti veriyoruz; mevcut kurulumunuzun gözden geçirilmesi için iletişim sayfamızdan bize ulaşabilirsiniz.

Kaynak: Cybersecurity News, GBHackers, Zyxel Güvenlik Duyuruları