Cisco, 16 Eylül 2026'da Identity Services Engine ile ISE Passive Identity Connector'ı etkileyen CVE-2026-76460 için bir güvenlik bildirimi yayımladı. CVSS temel puanı 10.0, yani ölçeğin verdiği en yüksek değer. Nedeni bir API uç noktasındaki yetersiz kimlik doğrulama kontrolleri, sonucu ise kimliği doğrulanmamış uzak bir saldırganın özel hazırlanmış bir istek göndererek yönetim arayüzüne ulaşabilmesi. Cisco, PSIRT ekibinin aktif istismardan haberdar olduğunu ve hiçbir geçici çözümün bulunmadığını açıkça belirtiyor.

Teknik ad bir işletme sahibine pek bir şey ifade etmez. Operasyonel anlamı ise her şeyi ifade eder: Etkilenen cihaz bir dosya sunucusu ya da ağ yazıcısı değil. Ağın geri kalanının, bağlanmaya çalışan herkesin kimliğini sorduğu cihaz. Bu dizüstü bilgisayarın yetkili bir çalışana ait olduğuna, bu telefonun misafir ağına ait bir ziyaretçiye ait olduğuna ve bu tedarikçinin yalnızca tek bir sisteme ulaşacağına o karar verir. Bu kararı veren otorite düştüğünde bir hizmeti kaybetmezsiniz. Tüm hizmetlerin üzerinde durduğu temeli kaybedersiniz.

Gerçekte ne biliyoruz

Bu bilgiler basındaki haberlerden değil, Cisco'nun kendi bildiriminden ve CISA'nın Known Exploited Vulnerabilities (istismar edildiği bilinen zafiyetler) kataloğundan geliyor:

  • Etkilenen ürünler: Cisco Identity Services Engine ve ISE Passive Identity Connector, 3.1 ile 3.5 arasındaki sürümler.
  • Düzeltilmiş sürümler: 3.1 Patch 12, 3.2 Patch 11, 3.3 Patch 12, 3.4 Patch 7 ve 3.5 Patch 4.
  • İstismar ön koşulu: yok. Uzaktan, kimliği doğrulanmamış bir saldırgan, bir API uç noktasına özel hazırlanmış tek bir istek, hesap yok, parola yok.
  • Durum: Cisco PSIRT'e göre aktif olarak istismar ediliyor ve 16 Eylül 2026'da Known Exploited Vulnerabilities kataloğuna eklendi; ABD federal kurumları için düzeltme son tarihi 19 Eylül 2026.
  • Geçici çözüm: yok. Cisco'nun andığı tek hafifletme önlemi, yama uygulanana kadar cihaza erişimi altyapı erişim kontrol listeleriyle kısıtlamak.

Bu listedeki üç ifade üzerinde durmaya değer: uzaktan, kimlik doğrulamasız ve geçici çözüm yok. Bunlardan birini taşımayan her zafiyet size nefes alacak alan bırakır. Bu ise yama ya da yalıtım dışında hiçbir şey bırakmıyor.

Kimlik cihazları neden işlettiğiniz diğer tüm sunuculardan daha kötü

Kurumsal bir ağda sistemler, ele geçirilmelerinin sonuçları bakımından eşit değildir. Raporlama sunucusu ele geçirilirse raporları kaybedersiniz. Kimliği ve erişimi yöneten cihaz ele geçirilirse bir cihaz kaybetmiş olmazsınız. Tüm ağda izin kelimesinin anlamını kaybetmiş olursunuz.

Böyle bir sistemin yönetim kontrolünü ele geçiren kişi, ilke olarak politikaların kendisini değiştirebilir — bir kontrolü aşmaya çalışmak yerine yetkili bir kimlik üretebilir. Temel fark budur. Saldırı, günlüklerde anormal görünen bir sızma olmaktan çıkar ve tamamen meşru görünen bir girişe dönüşür, çünkü güvendiğiniz aynı kapıdan gelmiştir. Tespit edilmesi en zor durum budur, çünkü izleme, kimlik sisteminin onayladığı her şeyin tanım gereği onaylı olduğu varsayımı üzerine kuruludur.

Buna bu cihazların konumunu da ekleyin. Ağın ortasında dururlar ve görevleri bunu gerektirdiği için her segmente bağlanırlar. Dolayısıyla cihazda elde edilen bir dayanak noktası, arkasındaki her şeye giden açık bir yolda elde edilmiş bir dayanak noktasıdır. Bu yüzden kimlik, erişim ve kimlik doğrulama sistemleri genel ağ ekipmanı envanterinde değil, kritik varlıklar listesinin en üstünde yer almalıdır. Aynı mantığı farklı bir açıdan kimsenin haritalamadığı tek hata noktası yazımızda ele almıştık.

Ders Cisco ile ilgili değil

Bunu tek bir üreticinin tek bir ürünüyle ilgili bir haber olarak okumak kolay. Bu okuma rahat ama işe yaramaz. Cisco düzeltmeyi yayımladı ve istismar durumunu açıkça belirtti; olgun bir üreticinin yapması gereken de budur. Her üreticinin güvenlik cihazlarında zafiyet vardır, çünkü bunlar yazılımdır ve benzer bildirimler gelecektir.

Akılda tutulması gereken soru Cisco kullanıp kullanmadığınız değil. Ağınızın kullanıcılarının kimliğini hangi cihazların ve sistemlerin doğruladığını, bunların hangi sürümde olduğunu, yamalarından kimin sorumlu olduğunu ve bunun gerçekte ne kadar sürdüğünü bilip bilmediğiniz. Bu dört soruyu yarım saatte yanıtlayabilen bir kuruluş, bu bildirimi bir akşam işi olarak halleder. Cihazı kimin yönettiğini bilmeyen bir kuruluşun başlangıç çizgisine ulaşması bile bir hafta sürer ve o haftanın tamamı açıkta kalınan süredir.

Ulusal Siber Güvenlik Otoritesi (NCA) tarafından yayımlanan Temel Siber Güvenlik Kontrollerinin zafiyet yönetimi alanında istediği tam olarak budur: periyodik zafiyet değerlendirmesi ve tespiti, önem derecesine göre sınıflandırma, bu sınıflandırmaya ve ilgili riske göre giderme, yeni zafiyet haberleri için güvenilir kaynaklara abonelik ve güncellemelerin bütünlüğünü ve etkinliğini uygulamadan önce üretim dışı bir ortamda doğrulayan yama yönetimi. Genellikle başarısız olan kontrol yamanın kendisi değildir. Güvenilir kaynaktır: Üreticinin bildirimini hiç almayan bir kuruluş, bunu günler sonra bir haber yazısından öğrenir ya da hiç öğrenmez.

Origami'nin bakışı

Ağ donanımı satmak yerine iş sistemleri geliştiriyoruz, yine de bunun sonuçlarını her entegrasyon projesinde görüyoruz. Bir müşterinin ağına yeni bir sistem bağladığımız her seferinde aynı soru ortaya çıkıyor: Burada izinleri kim veriyor ve bu karar nerede kayıt altına alınıyor. Tekrar eden gözlemimiz şu: Kırılgan olan kısım nadiren yeni uygulama ya da onun sıkılaştırılmasıdır. Uygulamanın doğru kabul ettiği ve kimsenin denetlemediği katmandır, çünkü eskidir ve yıllardır sessizce çalışmaktadır.

Bu yüzden kimlik yolundaki her bileşeni uygulamanın yanında duran bir şey olarak değil, uygulama güvenliğinin bir parçası olarak ele alıyoruz. Adı, sürümü ve sorumlusuyla varlık listesine kaydedilir. Bir bildirimin geldiği gün doğaçlama belirlenen bir bakım penceresi yerine önceden üzerinde anlaşılmış bir pencereye sahip olur. Yönetim arayüzü de genel ağdan erişilebilir olmak yerine ayrı bir yönetim ağıyla sınırlandırılır. Bunlar yeni bütçe gerektirmeyen üç uygulama ve Cisco'nun bildirimini okuyup ne yapacağını bilen bir işletme ile okuyup cihazın parolasının kimde olduğunu sorarak başlayan bir işletme arasındaki farkı oluşturuyor. Bu, hizmetlerimizin genelinde çalışma biçimimizin bir parçası.

Bu hafta yanıtlanması gereken beş soru

Bu eksiksiz bir güvenlik programı değil. Bir sonraki bildirime ne kadar hazır olduğunuzu ortaya koyan beş yanıt, çünkü bir sonraki bildirim mutlaka gelecek.

  • Cisco ISE ya da ISE-PIC kullanıyorsanız: Hangi sürümdesiniz ve bu sürüm 3.1 ile 3.5 arasında mı? Öyleyse düzeltilmiş sürümler yukarıda listeleniyor ve bu planlı değil acil bir iş. Yama uygulanana kadar, bildirimde anlatıldığı gibi cihaza erişimi erişim kontrol listeleriyle kısıtlayın.
  • Varlık listesi: İşlettiğiniz kimlik doğrulama ve erişim sistemlerinin sürümleriyle birlikte yazılı bir listesi var mı? Yanıt tek bir kişinin aklındaysa, bu bir liste değildir.
  • Bildirim kaynağı: Kuruluşunuzda kullandığınız her üreticinin güvenlik bildirimlerine kim abone? Bu abonelik ücretsizdir ve birkaç dakika sürer; yokluğu da çoğu zaman araç eksikliğinden çok gecikmenin asıl nedenidir.
  • Yamaya kadar geçen süre: Aldığınız son kritik bildirimle yamanın uygulanması arasında kaç saat ya da gün geçti? Sayıyı yazın. Gerçek ölçütünüz budur ve herhangi bir yazılı plandan daha dürüsttür.
  • Yönetim arayüzleri: Kritik cihazlarınızın yönetim konsollarına ağın her yerinden mi, yoksa yalnızca tanımlı bir yönetim ağından mı erişilebiliyor? Erişimi kısıtlamak zafiyeti ortadan kaldırmaz, ancak potansiyel olarak tüm internete açık bir saldırıyı, önce içeride bir dayanak noktası gerektiren bir saldırıya dönüştürür.

Pratik sonuç dar kapsamlı. Zafiyetler işletmenizi pusuya düşüren istisnai bir kaza değil; prova yapabileceğiniz, tekrar eden bir olaydır. Ayakta kalan bir kuruluşu duran bir kuruluştan ayıran şey açığın yokluğu değil, düzeltmenin yayımlanmasıyla uygulanması arasında geçen saatlerdir.

Kaynaklar