Son analizlere göre, Cisco Catalyst SD-WAN Manager bileşeninde CVE-2026-20245 kodlu kritik bir güvenlik açığı tespit edildi. Bu zafiyet, yerel yetkili bir saldırganın özel hazırlanmış dosyalar aracılığıyla sistemde root yetkisiyle komut çalıştırmasına olanak tanıyor. Etkilenen sistemler arasında kurum içi dağıtımlar, Cisco SD-WAN Cloud-Pro, Cisco SD-WAN Cloud (Cisco tarafından yönetilen) ve FedRAMP sertifikalı hükümet versiyonları yer alıyor.
Saldırı Zinciri ve Teknik Detaylar
Açığın temelinde, kullanıcı tarafından sağlanan girdilerin yetersiz doğrulanması bulunuyor. Saldırgan, öncelikle sistemde netadmin yetkisine sahip olmalı; bu yetki ya geçerli kimlik bilgileriyle ya da daha önce ortaya çıkmış CVE-2026-20182 ve CVE-2026-20127 gibi kimlik doğrulama atlatma açıklarının istismarıyla elde edilebiliyor. Bu durum, saldırganın komut enjeksiyonu yoluyla ayrıcalık yükseltmesine ve sistem üzerinde tam kontrol sağlamasına zemin hazırlıyor.
Özellikle CVE-2026-20182 ve CVE-2026-20127 açıkları, geçtiğimiz yıl boyunca aktif olarak kötüye kullanıldı ve UAT-8616 adlı tehdit aktör grubu tarafından hedeflendi. Yeni CVE-2026-20245 açığının da benzer şekilde istismar edildiği gözlemlenmiş, ancak saldırganların kimliği henüz belirlenememiştir.
Hangi Sistemler Risk Altında?
Bu zafiyet, Cisco SD-WAN altyapısını kullanan kurumsal ağlarda ciddi risk oluşturuyor. Özellikle ağ segmentasyonu ve bulut güvenliği stratejileri kapsamında kritik öneme sahip olan SD-WAN yönetim katmanları hedef alınmakta. İnternet erişimine açık sistemler, saldırıya karşı daha savunmasız durumda bulunuyor.
Siber Güvenlik Ekipleri İçin Öneriler
- SD-WAN yazılımını en güncel sürüme yükseltin ve 14 Mayıs 2026’da yayımlanan CVE-2026-20182 yamasının uygulandığından emin olun.
- “/var/log/scripts.log” dosyasını düzenli olarak kontrol ederek aşağıdaki gibi olağandışı komut yükleme aktivitelerini tespit edin:
- “Tenant list upload per vsmart serial number”
- “vSmart upload serial numbers”
- “ZTP upload chassis numbers”
- Netadmin yetkilerine sahip kullanıcı hesaplarını sıkı şekilde denetleyin ve gereksiz yetkileri kaldırın.
- EDR ve SIEM çözümleri ile anormal komut çalıştırma ve dosya yükleme aktivitelerini izleyin.
- Ağ segmentasyonu ve Zero Trust prensipleri doğrultusunda yönetim arayüzlerine erişimi kısıtlayın.
Kurumsal Ortamlarda Olası Senaryo
Örneğin, büyük bir finans kurumu Cisco SD-WAN altyapısını kullanıyorsa, bu açığın istismarı sonucu saldırganlar ağ yönetim katmanına sızabilir ve kritik yönlendirme politikalarını değiştirebilir. Bu da hem veri sızıntısı hem de fidye yazılımı saldırıları için zemin hazırlayabilir. Dolayısıyla, olay müdahale ekiplerinin bu tür istismarları hızlı tespit edip müdahale etmesi kritik önem taşıyor.
Teknik Özet
- Kullanılan zafiyetler: CVE-2026-20245 (komut enjeksiyonu), CVE-2026-20182 ve CVE-2026-20127 (kimlik doğrulama atlatma)
- Hedeflenen bileşen: Cisco Catalyst SD-WAN Manager CLI
- Saldırı zinciri: Yetkili erişim elde etme → Kötü amaçlı dosya yükleme → Komut enjeksiyonu ile root yetkisi kazanma
- Önerilen savunma: Yazılım yamalarının uygulanması, erişim kontrolü, log analizi, EDR ve SIEM entegrasyonu
- İlgili MITRE ATT&CK teknikleri: T1078 (Valid Accounts), T1059 (Komut ve Kabuk), T1543 (Servis Kurulumu)
Alınabilecek Önlemler
Bu tür kritik zafiyetlerin önüne geçmek için kurumların düzenli yama yönetimi uygulaması, erişim haklarını minimumda tutması ve kapsamlı loglama ile anomali tespiti yapması gerekiyor. Ayrıca, bulut güvenliği ve ağ segmentasyonu stratejileri ile yönetim arayüzlerinin doğrudan internet erişimine kapatılması tavsiye edilir.