Cisco, 30 Eylül 2026 tarihinde Riyad saatiyle öğleden sonra 4'te, çok şubeli şirketlerin tüm şube ağlarını tek bir ekrandan yönetmek için kullandığı sistem olan Cisco Catalyst SD-WAN Manager'daki CVE-2026-76504 için bir güvenlik bülteni yayımladı. Önem puanı 10 üzerinden 9.8, istismar için ne hesap ne de parola gerekiyor, Cisco eylül ayı içinde aktif istismardan haberdar olduğunu söylüyor ve geçici bir çözüm yok. Aynı gün Suudi Arabistan Ulusal Siber Güvenlik Otoritesi (NCA), Kritik önem düzeyinde 2026-7889 numaralı uyarıyı yayımlayarak kuruluşlardan bülteni incelemelerini ve güncellemeyi uygulamalarını istedi.

Asıl soru teknik değil: Yamayı kim uygulayacak?

İki hafta önce başka bir Cisco cihazında, kimlik ve erişimi yöneten cihazda istismar edilen bir açık hakkında yazmış ve orada zafiyet yönetiminin temellerini ele almıştık. Bu kez en önemli soru teknik değil. Şube ağınızı hiç kendiniz işletmiyor olabilirsiniz: Bir telekom operatörü veya bir BT firması, yönetilen hizmet sözleşmesi kapsamında onu sizin adınıza işletiyor olabilir. Öyleyse sistemi bu gece kim yükseltecek, yükseltmeden önce birinin içeri girip girmediğini kim kontrol edecek ve ikisi de olmazsa sözleşmeniz ne diyor?

Cisco gerçekte ne yayımladı?

Haber birkaç saatlik, bu yüzden bu bilgiler basın haberlerinden değil, doğrudan Cisco'nun bülteninden ve NCA uyarısından geliyor:

  • Ürün: Cisco Catalyst SD-WAN Manager, eski adıyla vManage. Bülten, nasıl yapılandırılmış olursa olsun etkilendiğini belirtiyor.
  • Neden: HTTP isteklerinde URI kodlamasının hatalı işlenmesi, özel hazırlanmış bir isteğin belirli bir API uç noktasını korumak için konmuş bir kimlik doğrulama kuralını atlatmasına izin veriyor; böylece saldırgan API'ye admin kullanıcısının yetkileriyle ulaşıyor.
  • Ön koşul: yok. Uzaktan, kimlik doğrulaması yapılmamış bir saldırgan ve 9.8 CVSS temel puanı.
  • Durum: aktif olarak istismar ediliyor. Cisco PSIRT, istismardan eylül 2026'da haberdar olduğunu ve açığın bir Cisco Technical Assistance Center destek talebi çözülürken bulunduğunu söylüyor.
  • Geçici çözüm: yok. Çözüm, düzeltilmiş bir sürüme yükseltmek.
  • Yerel uyarı: 30 Eylül 2026 tarihli NCA uyarısı 2026-7889. Ticaret ve yatırım, finans ve ekonomi ve sağlıktan eğitim, ulaştırma ve imalata kadar 14 hedef sektörü, yani fiilen hepsini listeliyor.

Bültene göre düzeltilmiş sürümler:

Mevcut sürüm hattıİlk düzeltilmiş sürüm
20.9'dan eskiDüzeltilmiş bir sürüme geçin
20.920.9.10.1
20.1220.12.8.2
20.1520.15.6.1
20.1820.18.4.1
26.126.1.2.1
26.226.2.1

İlk satıra dikkat edin. 20.9'dan eski bir sürümde olan biri küçük bir güncelleme ile değil, başka bir sürüm hattına geçişle karşı karşıya. Bu planlama gerektirir ve bekleyemez.

Neden özellikle bu sistem?

Bir SD-WAN ağı şubeleri, depoları ve genel merkezi mevcut bağlantılar üzerinden birbirine bağlar ve hepsi tek bir merkezi sistemden yönetilir. Politikalar orada yazılır: hangi trafiğin hangi hattan gideceği, hangi şubenin hangi sisteme erişebileceği ve her lokasyondaki yönlendiriciye hangi ayarların gönderileceği. Merkezdeki tek bir değişiklik her şubeye ulaşır. Bütün mesele de budur.

Aynı özellik tehlikenin kendisidir. Bu sistemin API'sine admin yetkileriyle ulaşan kişi tek bir cihazla değil, tüm ağın yapılandırmasını yöneten konsolla karşı karşıyadır. Bir şubedeki satış noktası, depoya giden bağlantı ve genel merkez dışından muhasebe sistemine erişim, hepsi bu sistemin kontrol ettiği bir ağ üzerinden geçiyor olabilir. Günlük yönetimden ne kadar uzak görünse de kritik varlıklar listesinin en üstünde yer almalıdır.

Cisco'nun bulutu mu, sizin veri merkeziniz mi? Kimin harekete geçeceğini bu belirler

Bülten, sistemin işletilmesinin iki yolunu birbirinden ayırıyor ve fark son derece pratik:

  • Cisco'nun bulutunda: Bülten, açığın yapılandırmadan bağımsız olarak SD-WAN Manager'ı etkilediğini söylüyor ve iki bulut durumunu açıklıyor. Cisco Catalyst SD-WAN Cloud Hosted ortamlarında Cisco erişim kısıtlamasına dayalı önlemi zaten uyguladı, ancak önlem düzeltme değildir; bu nedenle yukarıdaki tablodan düzeltilmiş bir sürüme yükseltme hâlâ gerekli ve bunu kimin yapacağını sormalısınız. Cisco SD-WAN Cloud (Cisco Managed) tarafında 20.15.605 sürümü açığı gideriyor, Cisco kullanıcı müdahalesi gerekmediğini söylüyor ve sürüm hizmet arayüzündeki Help işlevi üzerinden kontrol edilebiliyor. Yükseltmenin üreticiye ait olduğu tek durum bu sonuncusu. Yine de sizin işiniz yazılı teyit almak ve logların öncesindeki dönem için incelenmesini istemektir.
  • Şirket içinde, sizin tesisinizde veya sağlayıcınızın veri merkezinde: Burada sözleşme öyle demedikçe kimse sistemi sizin yerinize yükseltmeyecek. Yükseltmeye kadar Cisco'nun tarif ettiği önlem, sisteme internet gibi güvenli olmayan ağlardan erişimi kısıtlamak ve SD-WAN kontrol bileşenlerini güvenlik duvarı gibi bir filtreleme cihazının arkasında korumaktır.

Yani ilk soru Cisco kullanıp kullanmadığınız değil. Ağ yönetim sisteminizin nerede çalıştığı ve onu yükseltme sorumluluğunun kimde olduğudur. Cevabı yalnızca sağlayıcı biliyorsa, kapatılması gereken ilk boşluk budur ve teknik bir boşluk değildir.

Yükseltme, birinin önceden içeri girip girmediğini söylemez

Cisco istismarı eylül ayında öğrendi ve düzeltmeyi ayın son gününde yayımladı. Başka bir deyişle, açık uygulanacak herhangi bir güncelleme yokken istismar ediliyordu. Bu gece yükseltmek kapıyı kapatır. Birinin o kapıdan çoktan geçip geride bir hesap veya bir yapılandırma değişikliği bırakıp bırakmadığını söylemez.

Bu yüzden Cisco, BT ekibinizin veya sağlayıcınızın sistemdeki iki belirli logda, serviceproxy-access.log ve vmanage-server.log içinde araması gereken göstergeler yayımladı:

  • Bilinmeyen veya yetkisiz IP adreslerinden j_security_check'e gelen istekler.
  • İstek yolunda URI ile kodlanmış herhangi bir karakter, örneğin %6a_security_check; burada %6a, kodlanmış j harfidir. İstismar kimlik doğrulama kuralını bu şekilde atlatıyor. Cisco, %6a'nın yalnızca bir örnek olduğunu vurguluyor: İstekte herhangi tek bir karakterin kodlanması kullanılabilir, bu yüzden ekip yalnızca %6a'yı değil, j_security_check'in kodlanmış tüm varyantlarını aramalıdır.
  • Özellikle vmanage-server.log içinde: bilinmeyen adreslerden viptela-reserved- ile başlayan kullanıcı adları için yapılan j_security_check istekleri. Bunlar sistemin yerleşik hizmet hesaplarıdır, dolayısıyla adın logda görünmesi tek başına bir ele geçirilme işareti değildir. Önemli olan bilinmeyen kaynaktır.

Cisco ayrıca bu göstergelerin zaman zaman normal işleyiş sırasında da görülebileceği uyarısını yapıyor, bu yüzden sonuç çıkarmadan önce ağın olağan etkinliğiyle karşılaştırılmaları gerekir.

Aynı ders bu hafta, ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı'nın (CISA) 27 Eylül'de Bilinen İstismar Edilmiş Zafiyetler (Known Exploited Vulnerabilities) kataloğuna eklediği iki kritik Citrix NetScaler açığıyla da ortaya çıktı. CISA, tehdit aktörlerinin bunları dünya genelinde aktif olarak istismar ettiğini söyledi, kuruluşları mümkünse yama uygulamadan önce ele geçirilme belirtilerini kontrol etmeye teşvik etti ve ele geçirilmeden şüphelenen her kuruluşun güncellemeleri uygulamadan önce adli kanıtları korumasını söyledi, çünkü güncellemeler olup bitenin izlerini silebilir. Kural burada da geçerli: kontrol edin, logların bir kopyasını saklayın, sonra yükseltin; ama kontrolün yükseltmeyi günlerce erteleme gerekçesine dönüşmesine izin vermeyin.

Ağınız yönetilen bir hizmetse: Sözleşmeniz ne diyor?

NCA'nın Temel Siber Güvenlik Kontrolleri, 2024 sürümü, devlet kurumları ve bağlı şirketleri ile Kritik Ulusal Altyapıya sahip olan, onu işleten veya barındıran özel sektör kuruluşları için bağlayıcıdır. NCA, Krallık'taki diğer tüm kuruluşları bunları kullanmaya güçlü biçimde teşvik ediyor. Şirketiniz bunlara bağlı olmasa bile, teknolojinizin bir kısmını işleten herhangi bir sağlayıcının sözleşmesinde nelerin yer alması gerektiğine dair en açık yerel referans bunlardır:

  • Bozulması durumunda verilerinizi veya hizmetlerinizi etkileyebilecek üçüncü taraflarla yapılan sözleşmelerde, hizmet düzeyi anlaşmaları dahil: gizlilik ve hizmet sonunda verilerinizin güvenli şekilde silinmesi, bir siber güvenlik olayı meydana geldiğinde iletişim prosedürleri ve üçüncü tarafın sizin siber güvenlik gereksinimlerinizi ve politikalarınızı uygulama yükümlülüğü (kontrol 4-1-2).
  • Özellikle BT dış kaynak kullanımı ve yönetilen hizmet sağlayıcılarıyla yapılan sözleşmelerde: imzadan önce, azaltıcı kontrolleri teyit edilmiş bir siber güvenlik risk değerlendirmesi; ayrıca uzaktan erişim kullanan izleme ve operasyon amaçlı yönetilen siber güvenlik hizmet merkezlerinin tamamen Krallık içinde bulunması gerekir (kontrol 4-1-3).
  • Zafiyet yönetiminde: zafiyetleri önem derecesine göre sınıflandırmak ve bu sınıflandırmaya göre gidermek, yeni zafiyet haberleri için güvenilir kaynaklara abone olmak ve güncellemeleri uygulamadan önce üretim dışı bir ortamda doğrulamak (kontrol 2-10-3).

Zafiyet yönetimi kontrollerinin ne söylemediğine dikkat edin: Kritik bir güncellemenin uygulanması için hiçbir süre belirlemiyorlar. O sayının sizin sözleşmenize yazılması gerekir. Aksi halde sağlayıcı yamayı sizin ihtiyaç duyduğunuzda değil, yapabildiğinde uygular.

Bugün sağlayıcınıza göndermeniz gereken mesaj

Bu soruları sormak için teknik biri olmanız gerekmiyor, bir toplantı beklemeniz de gerekmiyor. Cevapları yazılı isteyin:

  • Ağımız Cisco Catalyst SD-WAN Manager üzerinde mi çalışıyor? Peki nerede çalışıyor: Cisco'nun bulutunda mı, bizim tesisimizde mi, yoksa sizin veri merkezinizde mi?
  • Hangi sürümde ve düzeltilmiş sürüme ne zaman yükseltilecek, tarih ve saatiyle?
  • Yönetim arayüzü şu anda internetten erişilebilir mi? Öyleyse yükseltmeye kadar erişimi kısıtladınız mı?
  • Cisco'nun belirttiği iki logu yayımlanan göstergeler için kontrol ettiniz mi ve yükseltmeden önce bir kopyasını sakladınız mı? Ne buldunuz?
  • Bu uyarıyı bize ilk kim bildirdi: siz mi, yoksa okuduğumuz bir haber mi? Bir dahaki sefere bizi bilgilendirmek için üzerinde anlaşılmış prosedür nedir?

Son soru en önemlisidir. Uyarıyı sağlayıcınızdan değil de bir makaleden öğrendiyseniz, sorun bu tek açıktan daha büyüktür.

Origami'nin bakışı

Biz iş sistemleri geliştiriyoruz. Ağ ekipmanı satmıyor ya da işletmiyoruz. Ancak çok şubeli bir müşteri için geliştirdiğimiz her sistem, bizim tasarlamadığımız bir ağın üzerinde çalışıyor: Şubedeki satış noktası sunucuya gönderiyor, depo stoku güncelliyor, e-fatura platforma gidiyor. Ağa yamayı kimin uygulayacağı sorusuna verilen olağan cevap ise şu: Sağlayıcı her şeyle ilgileniyor. Bu güven veren bir cevap, ama bir cevap değil.

Suudi bir işletme sahibi açısından bu açığı, dış kaynak kullanımının işi taşıdığını ama sorumluluğu taşımadığını hatırlatan bir uyarı olarak okuyoruz. Yönetilen hizmet birçok şirket için doğru tercihtir, yeter ki sözleşmede ölçülebilir üç şey bulunsun: kritik güncellemelerin uygulanması için belirlenmiş bir süre, sistemlerinizi etkileyen her uyarının yazılı bildirimi ve her olaydan sonra neyin kontrol edildiğini ve ne bulunduğunu anlatan bir rapor. Bu maddeler iyi bir sağlayıcıya hiçbir şeye mal olmaz ve zayıf bir sağlayıcıyı bir zafiyetten önce ortaya çıkarır.

Özetle

  • Cisco Catalyst SD-WAN Manager'ı kendi tesisinizde veya sağlayıcınızda işletiyorsanız, düzeltilmiş sürüme yükseltme planlı değil acil bir iştir ve 20.9'dan eski sürümler düzeltilmiş bir hatta geçiş gerektirir.
  • Yükseltmeye kadar: Bültende anlatıldığı gibi sisteme internetten erişimi engelleyin ve kontrol bileşenlerini bir güvenlik duvarının arkasına alın.
  • Yükseltmeden önce iki logu da kontrol edin ve bir kopyasını saklayın, çünkü istismar düzeltme yayımlanmadan önce başladı.
  • Ağ yönetilen bir hizmetse, yukarıdaki soruları bugün gönderin, ardından bir sonraki yenilemede sözleşmeye kritik güncellemeler için bir süre ve bir bildirim prosedürü ekleyin.

Kaynaklar