"Cisco SD-WAN Manager'da Kabus: Şifre Olmadan Admin Yetkisiyle API'ye Sızma Açığı Aktif İstismar Ediliyor" Geçen saatlerde The Hacker News'te yayımlanan bir habere göre, Cisco, şirketlerin Cisco SD-WAN ağlarını yönetmek için kullandığı Cisco Catalyst SD-WAN Manager sistemindeki kritik bir açığın vahşi ortamda aktif olarak istismar edildiğini duyurdu. Açığın özü şu: "CVE-2026-76504" olarak takip edilen ve CVSS 9.8 puan alan zafiyet, hiçbir giriş erişimi olmayan uzaktaki bir saldırganın, Manager'ın API'sini admin kullanıcı gibi kullanmasına olanak tanıyor. Açık, API'nin oturum girişlerini yönettiği bölümünde bulunuyor. Sorun, Manager'ın bir HTTP isteğindeki URI kodlamasını hatalı işlemesinden kaynaklanıyor; özel hazırlanmış bir istek, normalde tek bir API uç noktasına erişimi kısıtlaması gereken bir kimlik doğrulama kuralını atlatabiliyor. Saldırganın herhangi bir kimlik bilgisine ihtiyacı yok, yalnızca bu isteği Manager'ın API'sine gönderebilmesi yeterli. Cisco'ya göre internete açık Manager'lar ele geçirilme riski altında; varsayılan olarak admin kullanıcı, cihaz üzerinde tüm işlemleri gerçekleştirmeye izin veren "netadmin" rolüne sahip. Cisco'nun Ürün Güvenliği Olay Müdahale Ekibi, açığın Eylül 2026'da aktif olarak istismar edildiğinin farkına vardığını belirtti; açık, Cisco'nun Teknik Destek Merkezi bir destek talebini incelerken keşfedildi. Danışma bildiriminde kaç müşterinin saldırıya uğradığı, saldırıların ne zaman başladığı, kimin gerçekleştirdiği veya saldırganların erişimle ne yaptığına dair herhangi bir bilgi paylaşılmadı. Tüm bunların sonucunda: Açık, Manager'ın nasıl yapılandırıldığından bağımsız olarak tüm kurulumları etkiliyor; 20.9 dalı için 20.9.10.1, 20.12 için 20.12.8.2, 20.15 için 20.15.6.1, 20.18 için 20.18.4.1, 26.1 için 26.1.2.1 ve 26.2 için 26.2.1 sürümleri ilk düzeltilmiş sürümler olarak yayımlandı; 20.9'dan eski sürümleri çalıştıranların ise desteklenen bir sürüme geçmesi gerekiyor Bu açık, Mayıs ve Haziran aylarında giderilen üç ayrı Cisco SD-WAN açığından (CVE-2026-20182, CVE-2026-20245, CVE-2026-20262) tamamen bağımsız; yani o yamaları uygulamış bir Manager bile bu yeni güncellemeye ihtiyaç duyuyor Kurum içi (on-prem) bir Manager yamalanana kadar Cisco, cihaza internet gibi güvenli olmayan ağlardan erişimi kısıtlamayı, internet erişimi zorunluysa yalnızca bilinen ve güvenilir sunuculara izin vermeyi ve kontrol bileşenlerini güvenlik duvarı arkasında tutmayı öneriyor; 443, 22 ve 830 gibi yönetim portlarının doğrudan internete açılmaması, HTTPS erişiminin yalnızca bir jump host veya yönetim alt ağı üzerinden sağlanması gerekiyor CVE-2026-76504, bu yıl istismar edildiği bildirilen bir dizi Cisco SD-WAN açığının sonuncusu; 30 Eylül itibarıyla CISA'nın Bilinen İstismar Edilen Güvenlik Açıkları kataloğunda 2026'da eklenen sekiz Cisco SD-WAN açığı bulunuyor Olası ele geçirme belirtileri, oturum tabanlı girişler için kullanılan "j_security_check" istek yoluyla ilişkili; Cisco'nun verdiği örnekte bu yolun bir karakteri URI olarak kodlanarak "/%6a_security_check" hâline geliyor ("%6a" harfi "j"yi temsil ediyor). Şüpheli veya yetkisiz IP adreslerinden gelen bu tür girişleri aşağıdaki gibi iki günlük dosyasında arayabilirsiniz: grep -i "j_security_check\|%6a_security_check" /var/log/nms/containers/service-proxy/serviceproxy-access.log grep "viptela-reserved-" /var/log/nms/vmanage-server.log "viptela-reserved-" ile başlayan kullanıcı adları, sistemin ayrılmış servis hesaplarına ait; ancak herhangi bir karakter kodlanabileceğinden ve bu girişler normal işleyiş sırasında da ortaya çıkabileceğinden her eşleşmeyi normal aktiviteyle karşılaştırarak yanlış pozitifleri elemeniz gerekiyor. Cisco, bir Manager'ın ele geçirilip geçirilmediğini belirlemek isteyen müşterilerin, önce Manager üzerinde "request admin-tech" komutunu çalıştırıp çıktı dosyasını hazır tutarak, başlığa CVE-2026-76504'ü ekledikleri bir Severity 3 destek talebi açmasını öneriyor; şirketin Mayıs ve Haziran ayı açıkları için verdiği danışma bildirimleri, yalnızca güncelleme yapmanın halihazırda erişim sağlamış bir saldırganı sistemden çıkarmayacağını, güncellemeden önce admin-tech dosyasının toplanması gerektiğini belirtiyordu. Kaynak: https://thehackernews.com/2026/09/cisco-warns-of-attackers-exploiting.html Siz bu açık veya CVE-2026-76504 hakkında ne düşünüyorsunuz? Cisco'nun SD-WAN ürün ailesinde bu yıl art arda sekizinci aktif istismar edilen açığın ortaya çıkması, bu platformun kurumsal ağ altyapılarında artık en çok hedef alınan saldırı yüzeylerinden biri hâline geldiğini gösteriyor değil mi?