Ne oldu?
Cisco, e-posta güvenlik ağ geçidi ürününde kritik bir açık için yama yayımladı. Açık 14 Ekim 2026'da duyuruldu ve Cisco, ekim ayı içinde açığın aktif olarak sömürüldüğünü tespit ettiğini bildiriyor.
CVE-2026-76519 numaralı açığın CVSS 3.1 taban puanı 9.8 — kritik.
İşleyiş şöyle: açık, cihazın Gelişmiş Zararlı Yazılım Koruması (AMP) bileşeninde, e-posta eklerinin hatalı işlenmesinden kaynaklanıyor. Kimlik doğrulaması yapmamış, uzaktaki bir saldırgan, etkilenen cihaz üzerinden özel hazırlanmış bir ek içeren e-posta göndererek cihaza keyfi dosya yazabiliyor ve altındaki işletim sisteminde kök (root) yetkisiyle komut çalıştırabiliyor.
Bir ayrıntı daha var: cihaz ele geçirildiğinde saldırgan, küme üyeleri arasındaki iletişimde kullanılan özel SSH anahtarlarına erişebiliyor. Yani tek bir cihazdaki açık, kümedeki diğer cihazlara da açılıyor.
Açık Cisco'nun kendi iç güvenlik taramasında bulundu.
Neden bu kadar ciddi?
Dört unsur aynı anda bir araya geliyor:
- Saldırganın hiçbir şeye sahip olması gerekmiyor. Hesap yok, parola yok, ağ içinde bulunma şartı yok. Tek gereken, cihaza ulaşan bir e-posta göndermek.
- Tetikleyici, cihazın asıl işi. Bu ağ geçidinin görevi gelen ekleri açmak ve incelemek. Saldırı, cihazın kapalı olması gereken bir özelliğinden değil, tam olarak yapması gereken şeyden geçiyor.
- Sonuç kök yetkisi. Cihaz üzerinde en yüksek yetki demek; kayıtları silme, kalıcılık kurma ve yan sistemlere geçme imkânı demek.
- Geçici çözüm yok. Cisco bülteninde bu açık için uygulanabilecek bir geçici önlem bulunmadığı açıkça belirtiliyor. Tek yol güncelleme.
Buna bir de aktif sömürü eklenince, bu açık "planlı bakım penceresinde hallederiz" kategorisinde değil.
Etkilenir misiniz?
Etkilenmek için iki koşulun aynı anda sağlanması gerekiyor:
- Dosya İtibarı (File Reputation) servisi etkin ve bir posta politikasına atanmış olmalı
- Content Scanner Tools sürümü 25.3.0.5525'ten eski olmalı
Hem fiziksel hem sanal cihazlar kapsamda.
Etkilenmeyenler: Secure Email and Web Manager ve Secure Web Appliance ürünleri bu açıktan etkilenmiyor. Bulut üzerinden hizmet alan müşterilerin işlem yapmasına gerek yok; düzeltme Cisco tarafından uygulandı.
Düzeltilmiş sürümler:
- AsyncOS 15.5 için 15.5.5-014
- AsyncOS 16.5 için 16.5.0-780
- AsyncOS 16.0 kullananların düzeltilmiş bir sürüme geçmesi gerekiyor
- Cisco, 16.5 öncesindeki tüm sürümler için 16.5.0-780'e geçilmesini öneriyor
Düzeltme ayrıca Content Scanner Tools 25.3.0.5525 ve sonrası üzerinden de dağıtılıyor. Bu yol yazılım yükseltmesi ya da ürünün yeniden başlatılmasını gerektirmiyor — bakım penceresi beklemek zorunda kalmadan kapatmanın yolu bu.
Ne yapmalısınız?
- Önce sürümünüzü ve yapılandırmanızı kontrol edin. Dosya İtibarı servisi bir posta politikasına atanmış mı, Content Scanner Tools sürümünüz ne? İki koşuldan biri bile sağlanmıyorsa bu açık sizi etkilemiyor.
- Etkileniyorsanız bekleyeceğiniz bir şey yok. Geçici çözüm olmadığı için tek seçenek güncelleme. Content Scanner Tools yolu yeniden başlatma gerektirmediği için en hızlı kapatma yöntemi.
- Ele geçirilme belirtisi arayın. Cisco, sistem günlüklerinde "System Security" mesajlarının incelenmesini öneriyor.
- Kontrolü cihazın dışından yapın. Kök yetkisi elde eden bir saldırgan cihaz üstündeki izleri silebilir. Bu yüzden ağ kayıtlarını ve güvenlik duvarı kayıtlarını cihazdan bağımsız olarak çapraz kontrol edin.
- Ele geçirildiğinden şüpheleniyorsanız yamayla yetinmeyin. Cisco'nun önerisi sanal cihazlar için şu: önce adli veriyi koruyun, sonra düzeltilmiş sürümle yeni bir sanal makine kurun, yapılandırmayı eski dosyaları içe aktarmadan sıfırdan oluşturun, kimlik bilgilerini ve kriptografik materyalleri yenileyin. Fiziksel cihazlarda üreticinin teknik destek birimiyle iletişime geçilmesi öneriliyor.
- Küme kullanıyorsanız tek cihazla sınırlı düşünmeyin. Paylaşılan SSH anahtarları risk altındaysa, kümedeki diğer cihazlar da değerlendirilmeli.
Buradaki beşinci madde dikkat çekici. Bir üreticinin "yapılandırmayı eski dosyalardan geri yükleme" demesi, saldırganın yapılandırma içinde kalıcılık kurmuş olabileceğini kabul etmesi anlamına gelir. Bu tavsiyenin kendisi, olayın ciddiyeti hakkında bülten metninden daha çok şey söylüyor.
Asıl mesele
Güvenlik cihazları, korudukları sistemlerden daha değerli hedeflerdir.
Sebebi basit: bu cihazlar tanımı gereği güvenilmeyen içeriği işler. Gelen her eki açar, her bağlantıyı çözümler, her dosyayı inceler. Yaptıkları iş, dışarıdan gelen veriyi ayrıştırmaktır — ve yazılım dünyasında hataların en çok çıktığı yer tam olarak ayrıştırma kodlarıdır.
Üstüne bir de konumları eklenir. Ağ geçidi trafiğin tamamını görür, genellikle yüksek yetkiyle çalışır ve çoğu kurumda "güvenlik ürünü" olduğu için ayrı bir denetime tabi tutulmaz.
Bu olaydan çıkarılacak ders "e-posta güvenliği gereksiz" değil. Ders şu: bir güvenlik ürününü kurmak, o alanı kapatmaz. Güvenlik ürünü de yamalanması, izlenmesi ve envanterde tutulması gereken bir yazılımdır.
Kurumunuzdaki güvenlik cihazlarının sürümlerini en son ne zaman kontrol ettiniz? Bu soru genellikle, cevabının gerekli olduğu gün soruluyor.