Ne oldu?
SonicWall'ın SMA1000 uzaktan erişim cihazlarında azami önem derecesine sahip bir açık tespit edildi ve sömürülmeye başlandı.
CVE-2026-102255 numaralı açık, sunucu taraflı istek sahteciliği (SSRF) türünde. Üretici, kimlik doğrulaması yapmamış uzaktaki bir saldırganın cihaza "kendi adına istek yaptırabileceğini" ve bu yolla iç işlevlere erişebileceğini bildiriyor.
Kapsam:
- Etkilenen: SMA1000 6210, 7210 ve 8200v modellerindeki WorkPlace arayüzü
- Etkilenmeyen: SMA 100 serisi ve SonicWall güvenlik duvarları üzerindeki SSL-VPN
- Düzeltme: SNWLID-2026-0017 numaralı güvenlik bülteninde yayımlandı
Üretici bülteni yayımladığında açığın sömürüldüğüne dair bir işaret bildirmemişti. Birkaç gün sonra iki ayrı güvenlik firması, kendi tuzak sistemlerinde sömürü denemeleri gözlemlediklerini açıkladı. Shadowserver verilerine göre internete açık 400'den fazla SMA1000 cihazı var.
Saldırgan tam olarak ne yapıyor?
Tuzak sistemlerde yakalanan isteğin ayrıntısı, bu yazının asıl konusu.
Saldırgan cihazın dış arayüzüne özel hazırlanmış bir istek gönderiyor. Açık sayesinde bu istek cihazın kendi içinden yeniden doğuyor ve 127.0.0.1:5984 adresindeki bir veritabanı servisine gidiyor. Denenen kimlik bilgisi: admin:admin.
Buradaki mantığı açmak gerekiyor.
127.0.0.1, cihazın kendisi demektir. O adresteki servis, tanımı gereği dışarıdan erişilemez; yalnızca cihazın içinden erişilebilir. Bu yüzden de genellikle varsayılan ayarlarla, varsayılan parolayla bırakılır — "zaten kimse ulaşamaz" varsayımıyla.
SSRF açıkları tam olarak bu varsayımı kırar. Saldırgan servise doğrudan ulaşamaz, ama cihaza "sen ulaş" dedirtebilir. İstek cihazın kendi içinden geldiği için servis onu meşru kabul eder.
Sonuç şu: dışarıya açık tek bir bileşendeki açık, hiç internete bakmayan bir servisin varsayılan parolasını saldırılabilir hâle getiriyor.
Güvenlik firması, bu denemelerin herhangi bir sistemi gerçekten ele geçirip geçirmediğini henüz tespit edemediklerini belirtiyor.
Bu cihaz sınıfının sorunu
Mesele tek bir üretici değil. Uzaktan erişim cihazları bir sınıf olarak saldırganların öncelikli hedefi, çünkü üç özelliği aynı anda taşıyorlar: internete açıklar, kurum ağının içine açılırlar ve genellikle en geç yamalanan cihazlardır.
Aynı üründe yakın geçmişte olanlar bu tabloyu gösteriyor:
- Temmuz 2026: iki sıfır gün açığı haftalarca sömürüldü ve cihazlara zararlı yazılım kuruldu. Saldırıların bir kısmı daha sonra fidye yazılımı gruplarına bağlandı.
- Eylül 2026: iki açık daha, zincirlenerek uzaktan kod çalıştırmak için kullanılıyordu.
- Temmuz ve eylül: aynı WorkPlace arayüzünde daha önce de SSRF açıkları çıkmıştı.
Daha geniş resim: ABD siber güvenlik ajansının "aktif olarak sömürülen açıklar" kataloğuna dört yılda bu üreticiye ait 19 açık girdi; bunların 13'ü fidye yazılımı gruplarınca kullanıldı.
Bu liste bir üreticiyi suçlamak için değil, bir sınıfı tarif etmek için burada. Kurumunuzun sınırında hangi marka duruyorsa dursun, o cihazın yama hızı kurumun en kritik ölçütlerinden biridir.
Ne yapmalısınız?
- Bu cihazı kullanıyorsanız üreticinin bülteni doğrultusunda güncelleyin. SMA 100 serisi ve güvenlik duvarı üzerindeki SSL-VPN bu açıktan etkilenmiyor; hangisini kullandığınızı önce netleştirin.
- İnternete açık cihaz envanterinizi çıkarın. Hangi cihaz, hangi arayüzle, hangi portla dışarıya bakıyor? Bu listeyi tahminle değil, dışarıdan tarayarak oluşturun.
- Yönetim arayüzlerini internetten kaldırın. Uzaktan erişim hizmeti vermek ile yönetim panelini dünyaya açmak aynı şey değil.
- Varsayılan parolaları iç servislerde de değiştirin. "Zaten dışarıdan erişilemiyor" diye bırakılmış her kimlik bilgisi, bir SSRF açığı kadar uzaktadır.
- Sınır cihazlarını yama takviminizde en üste alın. Bu cihazlar için aylık yama döngüsü geç kalıyor; sömürü, yama çıktıktan günler sonra başlıyor.
Asıl mesele
Ağ güvenliğinde uzun süre işe yaramış bir varsayım var: iç ağ güvenlidir, dış ağ güvensizdir. Güvenlik de bu iki alanın arasına kurulur.
Bu yazıdaki saldırı o çizginin nasıl silindiğini gösteriyor. Saldırgan iç ağa girmedi; iç ağa bakan bir cihaza, kendi adına istek yaptırdı. Çizgi aşılmadı, çizgi üstündeki cihaz kullanıldı.
Bundan çıkan sonuç şu: bir servisin erişilebilirliği güvenliğinin yerine geçmez. "Dışarıdan ulaşılamıyor" bir yapılandırma tercihidir ve tek bir açıkla geçersiz olur. Kimlik doğrulaması ise bir karardır ve açıktan sonra da ayakta kalır.
Kurumunuzda "nasılsa içeride" diye kurulmuş kaç servis var? Bu sorunun cevabı genellikle sınır cihazındaki bir açık ortaya çıktığında veriliyor. Önce vermek daha ucuz.