Ing. Calogero Bono
Cisco, Secure Firewall ASA ve Secure Firewall Threat Defense (FTD) yazılımlarındaki bir hizmet reddi (denial of service) açığı için güncellemeleri yayımladı. Cisco'ya göre açık zaten sömürülüyor, çünkü güvenlik ekibi ekim 2026'da aktif kullanımını tespit etti. Kimlik bilgisi olmayan bir saldırgan firewall'u uzaktan yeniden başlatabilir. Uzaktan erişimin bu cihazdan geçiyorsa, zorla yapılan bir yeniden başlatma ofislerin ve evden çalışmanın VPN olmadan kalması demektir.
Olayların ayrıntısına girmeden önce birkaç terim. Bir zero-day, bir düzeltme yayımlanmadan önce sömürülen açıktır. DoS (denial of service), bir hizmetin kullanılamaz hale getirildiği saldırı türüdür. Bir VPN SSL, şirket ağına dışarıdan erişmek için kullanılan şifreli tüneldir. Bir tunnel group, firewall üzerinde yapılandırılmış bağlantı profilidir. Ikincil kimlik doğrulama ise o profilde istenen ikinci bir kimlik kontrolüdür.
Ne oldu?
Cisco'nun resmi güvenlik bildirimine göre sorun Remote Access SSL VPN hizmetinde. Nedeni, bir tunnel group üzerinde ikincil kimlik doğrulama yapılandırıldığında ortaya çıkan mantık hataları. VPN SSL bağlantısı sırasında özel hazırlanmış bir istek göndermek, cihazın yeniden başlamasına yetiyor.
Açık CVE-2026-76418 olarak takip ediliyor. The Hacker News, 8.6 CVSS puanı bildiriyor. BleepingComputer ise açığı yüksek ciddiyetli olarak niteliyor. Diğerlerinden daha ağır basan bir ayrıntı var. Cisco, savunmasız noktaya ulaşmak için başarılı bir VPN girişinin gerekmediğini yazıyor.
Hangi cihazlar savunmasız?
Tüm Cisco firewall'ları risk altında değil. Cisco, birlikte geçerli olması gereken üç koşul belirtiyor.
- Cihaz savunmasız bir ASA veya FTD sürümünü çalıştırıyor.
- VPN SSL giriş hizmetine erişilebiliyor.
- Tunnel group içinde ikincil kimlik doğrulama yapılandırılmış.
Yapılandırma nasıl kontrol edilir
Yapılandırmada webvpn anahtar kelimesi varsa ve VPN SSL en az bir arayüzde etkinse, yapılandırma açıkta demektir. Ardından tunnel group'larda secondary-authentication-server-group satırına bakılır. tunnel-group-list enable etkinse, DefaultWEBVPNGroup dahil hepsi kontrol edilmeli. Yoksa ya da kaldırılmışsa yine de varsayılan grup kontrol edilmeli, çünkü bu grup ikincil kimlik doğrulama kullanıyorsa listeyi kapatmak maruziyeti ortadan kaldırmaz. FTD'de ise FMC veya FDM içindeki uzaktan erişim politikasına bakılır.
Cisco, Cloud-delivered Firewall, cdFMC, Secure Access ve Secure FMC Software'in etkilenmediğini belirtiyor.
Hangi sürümler sorunu çözüyor?
Cisco güncellemeleri yayımladı. Aşağıdaki liste her dal için ilk düzeltilmiş sürümü gösteriyor.
- ASA 9.16 ve öncesi, 9.16.4.104
- ASA 9.18, 9.18.4.96
- ASA 9.20, 9.20.4.50
- ASA 9.22, 9.22.3.200
- ASA 9.23, 9.23.1.48
- ASA 9.24, 9.24.1.27 ve 9.24.10.1
- FTD 7.0 ve öncesi, 7.0.11
- FTD 7.2, 7.2.13
- FTD 7.4, 7.4.9
- FTD 7.6, 7.6.7
- FTD 7.7, 7.7.14
- FTD 10.0, 10.0.3
- FTD 10.1, 10.1.1
Gerçek bir geçici çözüm yok. Yine de geçici bir önlem var. DefaultWEBVPNGroup ikincil kimlik doğrulama kullanmıyorsa, tunnel group listesi no tunnel-group-list enable komutuyla kapatılır. Kullanıyorsa, no secondary-authentication-server-group ile kaldırılır, ama Cisco bunun uzaktan erişimin güvenliğini düşüreceği konusunda uyarıyor. Cisco yine de güncellemeyi öneriyor.
Cisco'ya yönelik diğer saldırıların bağlamı
BleepingComputer'a göre bu tek bir olay değil. Geçen yılın eylül ayında Cisco, 5500-X serisi cihazlarda zero-day olarak sömürülen CVE-2025-20362 ve CVE-2025-20333 açıklarını düzeltti. Aynı gün ABD'li CISA, federal kurumlara 24 saat süre tanıyan Emergency Directive 25-03 yayımladı. Cisco, bu saldırıları ArcaneDoor kampanyasına bağladı.
Haber sitesi bir başka DoS zero-day'ini de hatırlatıyor. CVE-2026-20349 ağustosta düzeltildi, aynı ay Secure Email Gateway'de CVE-2026-76519 da giderildi. CISA, kasım 2021'den bu yana sömürülen 101 Cisco açığı bildirdi, bunların yedisi fidye yazılımı gruplarınca da kullanıldı.
Bilinmesi gereken sınırlar
Birçok veri eksik. Cisco kompromiz göstergeleri paylaşmadı, kimin saldırdığını, kimlerin hedef alındığını veya saldırıların ne zaman başladığını açıklamadı. Dolayısıyla faaliyetin ölçeğini bilmiyoruz.
BleepingComputer'a göre Shadowserver, internete açık VPN SSL'li 51.000'den fazla ASA cihazı izliyor. Bunların kaçının güncellendiğini ya da bal küpü (honeypot) olduğunu söylemiyor, dolayısıyla bu rakam savunmasız cihaz sayısı değil. Son olarak, geçici önlem Cisco tarafından test ortamında denendi ve kendi ortamında ayrıca değerlendirilmeli.
Dijital işlerle uğraşanlar için ne değişiyor
Cisco firewall'u olan küçük bir şirket için pratik etki, uzaktan erişimin kesilmesi. Mutlaka veri hırsızlığı anlamına gelmez. Yine de zarar var, çünkü evden ya da şantiyeden çalışanlar dışarıda kalır. Firewall'unuzu yöneten bir tedarikçiniz varsa, bugün ona kurulu sürümü ve ikincil kimlik doğrulamanın etkin olup olmadığını sorun.
Altyapı yönetenler için ders çevreyle ilgili. Dışarıya açık bir uzaktan erişim, envanter, güncelleme pencereleri ve izleme ile kritik bir hizmet gibi ele alınmalı. Erişim konusunda, evden çalışma için VPN hakkındaki yazımız temel tercihleri düşünmenize yardımcı olur. Dışarıya açtığınız sunucular için ise güvenlik güncellemeleri yapılan yönetilen sunucularımız tam da bu tür uyarıların peşinden koşmamanız için var.
Bizim değerlendirmemiz
Olayın ironik bir yanı var. İkincil kimlik doğrulama bir güvenlik önlemi, ama tam da yapılandırması cihazın kilitlenmesinin kapısını açıyor. Geçici önlem bunu kaldırmayı öneriyor ve bu da yöneticiyi erişilebilirlik ile koruma arasında zor bir seçimle karşı karşıya bırakıyor.
Bilgi azlığını eleştiriyoruz. Birinin bir açığı sömürdüğünü, ama kompromiz göstergelerinin olmadığını bilmek savunucuları kör bırakıyor. Belirli izleri aramak için logları kontrol edemiyoruz. Bu yüzden tek mantıklı yol, gelmeyebilecek ayrıntıları beklemeden hemen güncellemek.
Sık sorulan sorular
Açık veri çalmaya izin veriyor mu?
Kaynaklara göre hayır. Cisco yalnızca cihazın beklenmedik şekilde yeniden başlamasını, yani bir hizmet reddi saldırısını anlatıyor. Bu açık üzerinden veriye erişildiğine dair bir işaret yok.
Sömürmek için VPN hesabı gerekiyor mu?
Hayır. Saldırgan kimlik doğrulaması yapılmamış ve uzaktan bağlanan biri. Cisco, savunmasız noktaya ulaşmak için başarılı bir VPN girişinin gerekmediğini belirtiyor.
Hemen güncelleyemezsem bir çözüm var mı?
Yalnızca geçici. Tunnel group'larda ikincil kimlik doğrulama kapatılır ya da varsayılan grup onu kullanmıyorsa tunnel group listesi kapatılır. Cisco bunun geçici bir önlem olduğunu ve güvenliği düşürebileceğini hatırlatıyor.
Açık ne kadar ciddi?
Yüksek ciddiyetli. The Hacker News 8.6 CVSS puanı bildiriyor. Cisco aktif sömürüyü doğruluyor.
Sürümümün etkilenip etkilenmediğini nasıl anlarım?
Kullandığınız sürümü bildirimdeki güncelleme tablosuyla karşılaştırın. Cisco ayrıca belirli bir sürüme ilişkin bildirimleri gösteren Cisco Software Checker aracını sunuyor.
Önümüzdeki haftalarda nelere bakmalı
Saldırılara ve ölçeklerine dair bilgiler henüz açık. Bu arada üç noktada harekete geçebilirsiniz.
- Firewall sürümünü ve yapılandırmasını kontrol edin, güncellemeyi hemen düzeltilmiş sürüme planlayın.
- Beklemek zorundaysanız, geçici önlemi tedarikçinizle değerlendirin ve güvenlikte neyi kaybettiğinizi bilin.
- Olası kompromiz göstergeleri ve güncellemeler için Cisco bildirimini takip edin.
