ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), saldırganların IBM Aspera Faspex ve SignalWire FreeSwitch platformlarındaki yeni ve tehlikeli güvenlik açıklarını istismar etmesi konusunda uyardı. Fiili saldırı faaliyetlerinin tespit edilmesine dayanarak ajans, bu iki zafiyeti "Bilinen İstismar Edilen Zafiyetler" (KEV) listesine dahil etti; bu da resmi talimatlara göre ABD federal ajanslarının güvenlik güncellemelerini sadece üç gün içinde uygulamalarını zorunlu kılıyor.
İstismar Edilen Zafiyetlerin Detayları
CVE-2026-123218 tanımlayıcısına sahip olan ilk zafiyet, IBM Aspera Faspex platformu ile ilgilidir. Bu zafiyet, CVSS ölçeğine göre 9.8'e varan bir kritiklik derecesiyle bir yetkilendirme atlatma (Authorization Bypass) hatası olarak sınıflandırılmaktadır. Tehlikesi, yetkili kullanıcıların sistem üzerinde tam yönetici ayrıcalıkları elde etmek için özel olarak tasarlanmış mesajları istismar edebilme yeteneğinde yatmaktadır. IBM, bu zafiyet için 5.0.19 PL1 sürümünde bir düzeltme yayınladı ve müşterilerini acil yamalama yapmaya çağırdı.
İkinci zafiyet ise CVE-2026-116779 olup SignalWire FreeSwitch'i hedef almaktadır ve o da 9.8 kritiklik derecesine sahiptir. Bu zafiyet, artı (+) işaretinin karşılaştığı durumlarda SIP protokolünün işlenmesindeki bir hata nedeniyle kod enjeksiyonu (Code Injection) kategorisine girmektedir; burada işaretin sol tarafı bir sohbet protokolü seçicisi olarak ele alınmaktadır. Bu hata, saldırganların FreeSwitch işlemi yetkileriyle kod komutları yürütmesine olanak tanıyarak hassas bilgilerin sızdırılmasına ve aramalar üzerinde tam kontrole yol açabilir. Düzeltme, SignalWire FreeSwitch'in 1.11.3 sürümünde sağlanmıştır.
Bu Tehdit Neden Gerçek Bir Tehlike Arz Ediyor?
Bu uyarının teknik önemi iki temel noktada yatmaktadır:
- Fiili İstismar: Laboratuvarlarda keşfedilen zafiyetlerin aksine, raporlar bu zafiyetlerin şu anda gerçek saldırılarda (In the wild) istismar edildiğini doğrulamıştır; bu da güncellenmemiş sistemlerin anında ele geçirilme riski altında olduğu anlamına gelir.
- Tam Kontrol: Yüksek kritiklik dereceleri (9.8), bu zafiyetlerin başarıyla istismar edilmesinin saldırgana tam yönetici yetkileri sağladığını, bunun da kurum içindeki hassas veriler ve işlemler üzerindeki kontrolün kaybedilmesi anlamına geldiğini göstermektedir.
CISA'dan Ek Uyarılar
IBM ve SignalWire zafiyetlerinin yanı sıra ajans, uzaktan yönetici erişimine izin veren GPUStack'teki (CVE-2026-102895 tanımlayıcısı ile) kritik bir zafiyetin aktif olarak istismar edildiğine ve ayrıca bazı Linux dağıtımlarını etkileyen ve saldırganların root hesaplarına erişmesine izin veren SSHole zafiyetine dikkat çekti.