Alesta WEB
Kısa cevap: ABD siber güvenlik ajansı CISA, 9 Kasım 2026'da saldırılarda kullanılan dört açığı Bilinen İstismar Edilen Açıklar (KEV) listesine ekledi: FreeSWITCH CVE-2026-116779 (SIP mesajıyla komut çalıştırma, CVSS 9,8), GPUStack CVE-2026-102895 (kimlik doğrulama atlatma), IBM Aspera Faspex CVE-2026-123218 (yönetici yetkisi, CVSS 9,8) ve OpenSSH CVE-2026-123158 (sshole). Düzeltmeler sırasıyla FreeSWITCH 1.11.3, GPUStack 2.2.0 ve Faspex 5.0.19 PL1. Federal kurumlara 12 Kasım'a kadar süre verildi.
Dört açığın özeti (CISA KEV, November 9, 2026)
| Ürün | CVE | Tür | Etkilenen | Düzeltme |
|---|---|---|---|---|
| SignalWire FreeSWITCH | CVE-2026-116779 | Komut enjeksiyonu | 1.11.2 ve öncesi | 1.11.3 |
| GPUStack | CVE-2026-102895 | Kimlik doğrulama atlatma | 2.2.0 öncesi | 2.2.0 |
| IBM Aspera Faspex | CVE-2026-123218 | Yetkilendirme atlatma | 5.0.0 – 5.0.19 | 5.0.19 PL1 |
| OpenSSH (musl, PAM'sız) | CVE-2026-123158 | Kimlik doğrulama atlatma | Dağıtıma göre | Dağıtım güncellemesi |
CISA, saldırganların kim olduğunu ve kaç kurumun etkilendiğini açıklamadı. 12 Kasım son tarihi yalnız ABD federal kurumları için bağlayıcı; ancak listeye giren her açık, saldırıların fiilen sürdüğünü gösterdiği için özel sektör için de öncelik işaretidir.
FreeSWITCH CVE-2026-116779 (SIP MESSAGE command injection)
FreeSWITCH, çağrı merkezlerinde, sanal santrallerde ve VoIP hizmetlerinde kullanılan açık kaynak bir telefon platformu. Açık, SIP MESSAGE (anlık mesaj) isteklerinin işlenmesinde. Özel hazırlanmış bir mesaj, FreeSWITCH'in iç API komut arayüzüne ulaşabiliyor. Saldırgan bu yolla sunucuda komut çalıştırabiliyor, yapılandırma dosyalarına ve SIP hesap parolalarına erişebiliyor, çağrıları yönlendirebiliyor. Kimlik doğrulama ayarlarına bağlı olarak saldırı bir SIP hesabı gerektirebiliyor. SignalWire, açığın saldırılarda kullanıldığını doğruladı.
Geçici önlem olarak SIP profillerinde enable-chat-api-proto ayarı kapalı tutulmalı, gelen SIP sohbeti gerekmiyorsa enable-chat=false yapılmalı. SignalWire, MESSAGE isteklerine kimlik doğrulama istemenin tek başına açığı kapatmadığını vurguluyor.
# Sürümü kontrol edin
fs_cli -x "version"
# SIP profilinde (ör. internal.xml / external.xml)
<param name="enable-chat" value="false"/>GPUStack CVE-2026-102895 (Authentication bypass)
GPUStack, GPU kümelerinde yapay zekâ modellerini çalıştırmak için kullanılan açık kaynak bir yönetim aracı. Uygulama bazı ters vekil sunucu (reverse proxy) kurulumlarında ya da X-GPUStack-Real-IP başlığı değiştirildiğinde uzaktan gelen isteği güvenilir yerel istek sanıyor. Saldırgan parolasız yönetici erişimi alıp yönetici API anahtarı oluşturabiliyor, çıkarım arka uçlarını değiştirebiliyor, bulut kimlik bilgilerine erişip işçi sunucularda komut çalıştırabiliyor. Üretici, 2.1.1 sürümündeki bir saldırıda kötü amaçlı çıkarım arka uçlarıyla ters kabuk (reverse shell) açıldığını belgeledi.
Önemli ayrıntı: 2.2.0'a yükseltmek, saldırganın daha önce oluşturduğu yönetici API anahtarlarını iptal etmiyor. Yükseltmeden sonra yönetici hesapları, API anahtarları, çıkarım arka uçları ve işçi ayarları tek tek incelenmeli, şüpheli anahtarlar silinmeli ve bulut kimlik bilgileri değiştirilmeli. Hemen yükseltemeyenler force_auth_localhost=true ayarını açmalı ve dış istemcilerin bu başlığı göndermesini vekil sunucuda engellemeli.
IBM Aspera Faspex CVE-2026-123218 (Authorization bypass)
Aspera Faspex, büyük dosyaların kurumlar arasında aktarılması için kullanılan bir IBM ürünü. 5.0.0 ile 5.0.19 arasındaki sürümlerde bir yetkilendirme açığı tam yönetici yetkisi verebiliyor. IBM açığı CVSS 9,8 olarak puanladı. IBM'in bülteni saldırıyı kimliği doğrulanmış bir kullanıcı üzerinden anlatırken CVSS vektörü yetki gerekmediğini söylüyor; bu çelişki açıklanmadı. IBM geçici çözüm yayımlamadı, tek düzeltme 5.0.19 PL1. Güncellemeden sonra faspex-core konteyner imajının 5.0.19 (1ce4b13, Fix Pack: 1) sürümünü gösterdiği doğrulanmalı.
OpenSSH CVE-2026-123158
Listedeki dördüncü açık, Alpine Linux gibi musl libc kullanan ve PAM'sız derlenen sistemlerde parolasız hesaplara uzun bir parolayla girişe izin veren "sshole" açığı. Ayrıntıları ve düzeltilmiş paketleri OpenSSH sshole yazımızda anlattık. KEV'e girmesi, açığın duyurulmasından birkaç gün sonra yaygın saldırılarda kullanıldığını gösteriyor.
Ne yapmalı? (Action items)
- Envanter çıkarın. Kurumunuzda FreeSWITCH tabanlı santral, GPUStack kümesi, Aspera Faspex ya da Alpine tabanlı SSH sunucusu/konteyneri olup olmadığını kontrol edin. Hazır santral çözümleri arka planda FreeSWITCH kullanıyor olabilir.
- İnternete açık olanları önce güncelleyin. SIP portları (5060/5061), GPUStack arayüzü ve Faspex web arayüzü internete açıksa ilk sırada.
- Güncelleme sonrası iz arayın. Yeni yönetici hesapları, bilinmeyen API anahtarları, yapılandırma değişiklikleri ve beklenmeyen süreçler.
- Kimlik bilgilerini yenileyin. SIP hesap parolaları, bulut erişim anahtarları ve aktarım hesapları sızmış kabul edilmeli.
Sunucu güvenliği ve güncelleme takibi için Alesta WEB ile iletişime geçebilirsiniz.
Sık sorulan sorular
CISA KEV listesi Türkiye'deki kurumları bağlar mı?
Hayır, son tarihler yalnız ABD federal kurumları için bağlayıcı. Liste, saldırıda kullanıldığı doğrulanmış açıkları gösterdiği için önceliklendirmede herkes tarafından kullanılıyor.
FreeSWITCH'te MESSAGE isteklerine şifre istemek yeterli mi?
Hayır. SignalWire'a göre MESSAGE kimlik doğrulaması açığı tek başına ortadan kaldırmıyor; 1.11.3'e yükseltme gerekiyor.
GPUStack'i güncelledim, başka bir şey yapmalı mıyım?
Evet. Güncelleme saldırganın önceden oluşturduğu yönetici API anahtarlarını silmez. Anahtarları ve hesapları gözden geçirin, bulut kimlik bilgilerini değiştirin.
Kaynaklar (References)
İlgili sayfalar: Web hosting · Web yazılım hizmetleri · OpenSSH sshole · İletişim
Kapak fotoğrafı: Unnerving duck / Wikimedia Commons (CC BY-SA 4.0)
Yorumlar
Yorum yazın
