ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), veri hırsızlığını hedefleyen saldırılarda aktif olarak istismar edildiği gözlemlenen CVE-2026-7273 açığından etkilenen Zyxel GS1900 anahtarlarını federal yürütme organına bağlı sivil kurumların perşembe gününden önce güvence altına almasını emretti. Ajans, açığı pazartesi günü Bilinen İstismar Edilen Güvenlik Açıkları Kataloğu'na (KEV) ekledi; bu da açığın BOD 26-04 bağlayıcı operasyonel direktifi kapsamındaki kurumlar tarafından giderilmesini zorunlu kılıyor.
Uzaktan komut yürütmeye izin veren açık
CVE-2026-7273, anahtarların içindeki bir CGI programında meydana gelen yığın taşması nedeniyle oluşuyor. Yerel ağda yetkisi bulunmayan bir saldırgan, özel olarak hazırlanmış HTTP istekleri göndererek sistem komutları yürütebiliyor. Zyxel, sorunu gidermek için 16 Haziran'da güvenlik güncellemeleri yayımladı ve müşterilerini optimum koruma için aygıt yazılımını yükseltmeye çağırdı.
Zyxel, aktif istismarı doğrulamak üzere duyurusunu henüz güncellemedi; ancak GreyNoise pazartesi günü yayımladığı bir raporda istismara ilişkin ilk belirtileri 17 Eylül 2026'da gözlemlediğini söyledi. Şirket, Çince konuştuğundan şüphelenilen bir tehdit aktörünün daha geniş bir kampanyanın parçası olarak açıktan yararlandığını ve 48 ülkede 996 Zyxel anahtarına sızarak hassas verileri çıkarmayı başardığını belirtti.
Etkilenen modeller ve sürümler
- GS1900-8: 2.90(AAHH.1)C0 ve öncesi sürümler; düzeltme 2.90(AAHH.2)C0.
- GS1900-8HP: 2.90(AAHI.1)C0 ve öncesi sürümler; düzeltme 2.90(AAHI.2)C0.
- GS1900-10HP: 2.90(AAZI.1)C0 ve öncesi sürümler; düzeltme 2.90(AAZI.2)C0.
- GS1900-16: 2.90(AAHJ.1)C0 ve öncesi sürümler; düzeltme 2.90(AAHJ.2)C0.
- GS1900-24, GS1900-24E ve GS1900-24EP: 2.90(AAHL.1)C0, 2.90(AAHK.1)C0 ve 2.90(ABTO.1)C0 sürümleri ve öncesi; karşılık gelen düzeltmeler 2.90(AAHL.2)C0, 2.90(AAHK.2)C0 ve 2.90(ABTO.2)C0.
- GS1900-24HPv2: 2.90(ABTP.1)C0 ve öncesi sürümler; düzeltme 2.90(ABTP.2)C0.
- GS1900-48: 2.90(AAHN.1)C0 ve öncesi sürümler; düzeltme 2.90(AAHN.2)C0.
- GS1900-48HPv2: 2.90(ABTQ.1)C0 ve öncesi sürümler; düzeltme 2.90(ABTQ.2)C0.
Bu haber neden önemli?
Kullanılabilir bir güncellemenin bulunmasından açığın KEV kataloğuna eklenmesine geçilmesi, kurumların bu açığı teorik bir olasılık olarak değil, doğrulanmış bir risk olarak ele alması gerektiği anlamına geliyor. Zorunlu son tarih doğrudan ABD federal yürütme organına bağlı sivil kurumlar için geçerli; ancak CISA, tüm kurumları maruz kalma düzeyine dayalı risk yönetimi kapsamında KEV açıklarına öncelik vermeye çağırdı.
Uyarı, Zyxel anahtarlarının internet servis sağlayıcıları tarafından sanal cihazlar olarak teslim edilen ağ altyapısının bir parçası olabilmesi nedeniyle daha da önem kazanıyor; bu durum potansiyel olarak açığa maruz kalabilecek cihazların kapsamını genişletiyor. CISA saldırıların ayrıntılarını açıklamıyor; GreyNoise verileri ise küresel bir kampanyaya ve birden fazla cihazdan veri çıkarılmasına işaret ediyor. Bu nedenle çalınan verilerin niteliği, sorumlu taraf ve nihai hedef hâlâ yanıtlanmamış sorular olarak kalıyor.
CISA şu anda daha önce istismar edilmiş veya hâlen istismar edilmekte olan yönlendiriciler, anahtarlar, güvenlik duvarları ve NAS cihazlarını kapsayan Zyxel cihazlarındaki 13 açığı takip ediyor. Zyxel, dünya genelinde 150 pazarda bir milyondan fazla şirketin çözümlerini kullandığını söylüyor.