Alesta WEB
Kısa cevap: CVE-2026-76418, Cisco Secure Firewall ASA ve FTD yazılımlarının SSL uzaktan erişim VPN servisinde, kimlik doğrulaması olmayan bir saldırganın özel hazırlanmış istekle güvenlik duvarını yeniden başlatmasına yol açan bir hizmet engelleme (DoS) açığıdır. Cisco Ekim ayında gerçek saldırılarda kullanıldığını bildirdi, CISA 29 Ekim'de KEV listesine ekledi. Etkilenen yapılandırma, ikincil kimlik doğrulama (secondary authentication) tanımlı tunnel group ile açık SSL VPN'dir. Kalıcı çözüm Cisco'nun düzeltilmiş sürümüne geçmektir; o zamana kadar ikincil kimlik doğrulamayı kapatmak saldırı yolunu kapatır.
Açığın özeti (CVE-2026-76418 at a glance)
- Ürünler: Cisco Secure Firewall Adaptive Security Appliance (ASA) ve Firepower Threat Defense (FTD) yazılımı.
- Bileşen: Remote Access SSL VPN servisi.
- Etki: Cihaz beklenmedik şekilde yeniden başlar; bu sırada VPN kullanıcılarının bağlantısı kopar ve cihaz trafiği taşıyamaz.
- Neden: Cisco'ya göre tunnel group üzerinde ikincil kimlik doğrulama yapılandırıldığında ortaya çıkan mantık hataları.
- Kimlik doğrulama: Gerekmiyor; saldırganın VPN'e başarıyla giriş yapması gerekmeden zayıf koda ulaşılabiliyor.
- Önem: Yüksek; kaynaklar CVSS 8.6 veriyor.
- İstismar: Cisco PSIRT ekimde aktif istismardan haberdar oldu. Saldırganın kim olduğu ve hedefler açıklanmadı, ele geçirilme göstergesi (IoC) yayımlanmadı.
- CISA KEV: 29 Ekim 2026'da eklendi, ABD federal kurumları için son tarih 1 Kasım 2026.
Shadowserver, internete açık 51.000'den fazla Cisco ASA SSL VPN cihazı izlediğini bildiriyor. Bunların ne kadarının etkilenen yapılandırmada olduğu bilinmiyor.
Kim etkileniyor? (Affected configuration)
Cisco'ya göre açık, yapılandırmasında webvpn anahtar sözcüğü bulunan ve en az bir arabirimde SSL VPN açık olan cihazları etkiliyor. Kontrol için:
show running-config webvpn
show running-config tunnel-group | include secondary-authentication-server-groupCisco ayrıca iki önemli uyarı yapıyor: VPN giriş sayfasında görünen bağlantı profillerine bakmak yeterli değil; tunnel group listesini kaldırmak ya da kapatmak da açığı kendiliğinden kapatmıyor. Varsayılan DefaultWEBVPNGroup dahil tüm tunnel group'lar tek tek kontrol edilmeli. Bulut üzerinden teslim edilen güvenlik duvarlarının etkilenmediği bildiriliyor.
Düzeltilmiş sürümler (Fixed releases)
Kaynaklarda verilen düzeltilmiş ASA sürümlerinden bazıları: 9.16.4.104, 9.18.4.96, 9.20.4.50, 9.22.3.200, 9.23.1.48, 9.24.1.27 ve 9.24.10.1. FTD için de 7.0.11 ve 10.1.1 gibi düzeltilmiş sürümler anılıyor. Sürüm listesi kaynaktan kaynağa farklılık gösterdiği için kesin hedef sürümü Cisco'nun güvenlik duyurusundaki Cisco Software Checker ile belirleyin.
Cisco, açığı tamamen kapatan bir geçici çözüm olmadığını ve düzeltilmiş sürüme geçilmesini önerdiğini belirtiyor.
Hemen güncelleyemeyenler için (Mitigation)
Bakım penceresi bekleyen cihazlarda Cisco'nun önerdiği hafifletme, DefaultWEBVPNGroup ve kullanıcı tanımlı tüm tunnel group'larda ikincil kimlik doğrulamayı kapatmaktır. Bu, iki aşamalı doğrulama düzeninizi değiştirebileceği için kimlik doğrulama akışını kullanıcılarla birlikte test edin. Ek öneriler:
- VPN giriş sayfasını yalnız gerekli ülke ya da IP aralıklarına açın.
- Cihazın beklenmedik yeniden başlamalarını (crash, reload) izleyen bir alarm kurun; bu açığın tek görünür izi kesinti olabilir.
- Yeniden başlama sonrası oluşan crashinfo dosyalarını saklayın ve Cisco TAC ile paylaşın.
Cisco güvenlik duvarlarına yönelik son saldırılar
Bu açık, Cisco güvenlik duvarlarını hedef alan uzun bir serinin son halkası:
- Eylül 2025: CVE-2025-20362 ve CVE-2025-20333, VPN web servisleri açık ASA 5500-X cihazlarına karşı sıfırıncı gün olarak kullanıldı; CISA acil durum direktifi yayımladı. Saldırılar ArcaneDoor kampanyasıyla ilişkilendirildi.
- Ağustos 2026: CVE-2026-20349, SSL dinleme soketi açık ASA ve FTD cihazlarında istismar edilen başka bir DoS açığı.
- Ekim 2026: Secure Email Gateway'de root yetkisiyle komut çalıştırmaya izin veren CVE-2026-76519.
DoS açıkları zaman zaman cihazı yeniden başlatıp başka bir saldırının izini örtmek ya da bakım sırasında yapılandırmayı zorlamak için kullanılıyor. Bu yüzden "yalnızca yeniden başlıyor" diye ertelenmemeli.
Sık sorulan sorular
Açık veri sızıntısına yol açıyor mu?
Cisco'nun açıklamasına göre etkisi cihazın yeniden başlamasıdır; veri okuma ya da kod çalıştırma bildirilmedi.
AnyConnect / Secure Client kullanıyorum, etkileniyor muyum?
Açık istemcide değil, güvenlik duvarındaki SSL VPN servisinde. Cihazınızda SSL VPN açık ve tunnel group'ta ikincil kimlik doğrulama varsa etkilenir.
IPsec IKEv2 VPN kullanıyorsam?
Cisco etkilenen yapılandırmayı SSL VPN olarak tanımlıyor. Cihazda webvpn yapılandırması yoksa etkilenmez; yine de duyurudaki kontrol adımlarını uygulayın.
Kaynaklar (References)
İlgili sayfalar: Ivanti Connect Secure yeni açıklar · Web yazılım hizmetleri · İletişim
Kapak fotoğrafı: ShakataGaNai / Wikimedia Commons (CC BY-SA 3.0)
Yorumlar
Yorum yazın
