Cisco'da Kritik Casusluk Krizi

Taraklı Ajans

Cisco Catalyst SD-WAN Ürünlerinde Kritik Güvenlik Açığı

Cisco'nun Catalyst SD-WAN ürünlerinde üç yıl boyunca fark edilmeyen kritik bir hata, siber saldırganlar tarafından küresel bir casusluk operasyonu için kullanıldı. Cisco, CVE-2026-20127 olarak izlenen bu açığın, saldırganlar tarafından kimlik doğrulamasını atlamak, ayrıcalıklı erişim elde etmek ve sessizce veri çalmak amacıyla istismar edildiğini doğruladı.

Beş Ülkeden Ortak Uyarı

Bu tehlikeli keşif; ABD, İngiltere, Avustralya, Kanada ve Yeni Zelanda'dan oluşan "Beş Göz" (Five Nations) ittifakı yetkililerinin nadir görülen ortak bir uyarı yayınlamasına neden oldu. Saldırganların, bu yeni açığı daha eski bir güvenlik açığıyla birleştirerek root (kök) erişimi sağladıkları, kalıcı hesaplar oluşturdukları ve izlerini başarıyla gizledikleri bildirildi.

Teknik Detaylar ve Saldırı Yöntemi

CVE-2026-20127 olarak etiketlenen güvenlik açığı, 10.0 üzerinden 10.0 kritiklik puanına sahip. Talos raporuna göre, saldırganlar Catalyst SD-WAN ürünlerindeki bir hatayı kullanarak uzaktan kimlik doğrulamasını baypas etti. Başlangıçta tam yetki sağlamayan bu erişim, daha sonra sistemin yerleşik güncelleme mekanizması kullanılarak derinleştirildi.

Eski Açıklarla Zincirleme Saldırı

Avustralya hükümeti tarafından yürütülen inceleme, saldırganların denetleyiciyi (controller) daha eski bir sürüme düşürerek CVE-2022-20775 kodlu başka bir açığı istismar ettiklerini ortaya koydu. Bu yöntemle root erişimi kazanan saldırganlar, meşru hesapları taklit eden yerel kullanıcılar oluşturdu ve sisteme kalıcı olarak yerleşti. İşlem tamamlandıktan sonra denetleyiciyi tekrar eski sürümüne döndürerek şüphe çekmemeye çalıştılar.

UAT-8616: Gizemli Saldırgan

Henüz hiçbir siber suç grubu saldırının sorumluluğunu üstlenmedi. Ancak araştırmacılar, gözlemlenen faaliyetlerin benzer kalıplar sergilemesi nedeniyle bu operasyonu "UAT-8616" olarak adlandırılan tek bir aktöre bağlıyor. Saldırganın günlükleri (logs), kabuk komutlarını ve ağ bağlantı geçmişini düzenli olarak temizleyerek savunma mekanizmalarından kaçtığı tespit edildi.

Kuruluşlar İçin Savunma Önerileri

Cisco ve ilgili makamlar, Catalyst SD-WAN kullanan kuruluşların acilen şu adımları atmasını öneriyor:

• Sistem günlüklerini (logs) inceleyin ve bu günlükleri cihaz dışındaki güvenli bir sunucuya aktarın.
• Denetleyicileri, güçlü IP engelleme özelliklerine sahip bir güvenlik duvarının (firewall) arkasına taşıyın.
• Cisco Talos ve NSA tarafından yayınlanan güncel güvenlik kılavuzlarını takip edin.