Cisco, Cisco Secure Firewall Management Center (FMC) yazılımında bulunan CVE-2026-20079 numaralı kritik güvenlik açığının gerçek saldırılarda istismar edildiğini doğruladı. Açığın CVSS puanı olan 10,0 ile en yüksek seviyede ve uzaktan, kimliği doğrulanmamış bir saldırganın kimlik doğrulamayı atlayarak etkilenen cihazlarda root yetkileriyle betikler ve komutlar çalıştırmasına olanak tanıyor.
Cisco’nun PSIRT adıyla bilinen güvenlik olaylarına müdahale ekibi, açığın duyurusunu çarşamba günü güncelledi ve aktif istismardan ağustos 2026’da haberdar olduğunu açıkladı. Şirket açığı ilk kez mart ayında duyurmuş, ancak o dönemde açığın saldırılarda kullanıldığına dair kanıtı olmadığını söylemişti. Cisco saldırıların ne zaman başladığını veya arkasındaki aktörün kim olduğunu belirtmedi; ihlal sonrasında gerçekleştirilen faaliyetlere ilişkin ayrıntıları da açıklamadı.
Açık nasıl istismar edilebilir?
Sorun, cihaz başlatılırken hatalı bir sistem işlemi oluşturulmasından kaynaklanıyor. Saldırgan, cihazın web arayüzüne özel olarak hazırlanmış HTTP istekleri göndererek bu açıktan yararlanabiliyor. Saldırı başarılı olursa kimliği doğrulanmamış saldırgan root yetkileriyle betik ve komut çalıştırma imkânı elde ediyor.
Etkilenen ürünler arasında Cisco Secure FMC Software ve Cisco Security Cloud Control Firewall Management bulunuyor. Cisco, bulutta barındırılan Security Cloud Control hizmetini düzelttiğini belirtiyor; ancak şirket içi yazılım müşterilerine mevcut en son sürüme yükseltme yapmalarını öneriyor ve açık için herhangi bir geçici çözüm bulunmadığını doğruluyor.
Daha önceki faaliyetlere işaret eden göstergeler
Cisco aktif istismardan ağustos ayında haberdar olduğunu belirtse de temmuz ayında yayımlanan önceki bir güncellemede yer alan ihlal göstergeleri, faaliyetlerin bundan önce başlamış olabileceğine işaret ediyor. Şirket 29 Temmuz’da Secure FMC’de bulunan ve düşük ayrıcalıklı bir hesaba ait sabit kimlik bilgilerinden kaynaklanan CVE-2026-20316 numaralı başka bir açığı duyurdu ve bu açığın saldırılarda istismar edildiğini söyledi.
Her iki açığa ilişkin güncellemeler aynı göstergeleri ve aynı acil düzeltmeleri içeriyordu. Cisco ayrıca yöneticilerden /var/log/messages içinde /var/tmp/license.tmp yoluyla ilişkili faaliyetleri aramalarını istedi. Buna, 23 Temmuz tarihli ve root yetkileriyle /usr/local/sf/bin/package_info.pl /var/tmp/license.tmp --lsm komutunun çalıştırıldığını gösteren bir kayıt da dahil. Şirket bu kaydın bulunmasının cihazın istismar edilmiş olabileceği anlamına gelebileceğini düşünüyor; ancak aynı faaliyetin her iki açığı birlikte içerip içermediğini açıklamadı.
Bu durum yöneticiler açısından ne anlama geliyor?
ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı CISA, CVE-2026-20079’u Bilinen İstismar Edilen Güvenlik Açıkları kataloğuna ekledi ve ABD federal sivil yürütme kurumlarına etkilenen sistemleri 12 Eylül 2026’dan önce güvence altına alma zorunluluğu getirdi.
Pratik öncelik yalnızca düzeltmeleri yüklemekle sınırlı değil. Cisco, güncellemenin gelecekteki istismarları önlediği, ancak daha önce ele geçirilmiş bir cihazı düzeltmediği konusunda uyarıyor. Bu nedenle ihlal göstergeleri bulan müşteriler Teknik Destek Merkezi TAC ile iletişime geçmeli. Saldırıların zamanlaması, saldırıyı gerçekleştiren taraf ve iki açığın istismarının aynı kampanya kapsamında gerçekleşip gerçekleşmediği konusunda ise hâlâ yanıtlanmamış sorular bulunuyor.