SonicWall SSL-VPN Açığı Saldırılarda Kullanılıyor: CISA’dan Acil Uyarı
SonicWall, güvenlik duvarlarında tespit edilen yedi güvenlik açığı için güncelleme yayınlarken SSL-VPN sistemlerinde çok faktörlü kimlik doğrulamasını (MFA) devre dışı bırakabilen bir açığın saldırılarda kullanıldığını doğruladı. CVE-2026-19868 koduyla izlenen güvenlik açığı, belirli kimlik doğrulama koşullarında saldırganların SAML kontrollerini aşarak korumalı sistemlere erişmesine zemin hazırlıyor. Şirket, müşterilerine güncel SonicOS sürümlerini vakit kaybetmeden yüklemeleri çağrısında bulunurken ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) da açığı aktif olarak istismar edilen güvenlik sorunları listesine ekledi.
SonicOS Açığı SAML Tabanlı MFA Korumasını Aşabiliyor
CVE-2026-19868 olarak tanımlanan güvenlik açığı, SonicWall güvenlik duvarlarında çalışan SSL-VPN hizmetlerinin SAML kimlik doğrulaması kullanacak şekilde yapılandırıldığı sistemleri etkiliyor. CVSS değerlendirmesinde 10 üzerinden 7,1 puan alan açık, alternatif bir kimlik doğrulama yöntemine ait geçerli bilgilere sahip saldırganların SAML doğrulama kontrollerini atlamasına neden olabiliyor.
SAML, farklı uygulamalar ve hizmetler arasında kimlik doğrulama bilgilerinin güvenli biçimde aktarılmasını sağlayan bir standart olarak kullanılıyor. Kurumlar, bu yöntemi çok faktörlü kimlik doğrulama sistemleriyle birlikte kullanarak uzaktan bağlantılara ek güvenlik katmanı ekliyor. Ancak söz konusu SonicOS güvenlik açığı, belirli yapılandırmalarda bu koruma mekanizmasının aşılmasına imkân tanıyor.
SonicWall Ürün Güvenliği ve Olay Müdahale Ekibi (PSIRT), cuma günü yayınlanan güvenlik duyurusunda açığın saldırılarda kullanıldığına ilişkin bir bildirimi araştırdığını açıkladı. Şirket, müşterilerinden riskleri azaltmak amacıyla en yeni yazılım sürümlerine geçmelerini istedi. Güvenlik açığını The Electronic Office bünyesinden Ryan Harris keşfederek şirkete bildirdi.
ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı, CVE-2026-19868 kodlu açığı bilinen istismar edilen güvenlik açıkları kataloğuna (KEV) dahil etti. Bu kayıt, güvenlik açığının gerçek saldırılarda kullanıldığına ilişkin kurumsal doğrulamayı güçlendiriyor.
CISA, ABD federal sivil yürütme kurumlarına etkilenen sistemleri güvence altına almaları için 20 Kasım 2026 tarihine kadar süre verdi. Ajansın bu kararı, güvenlik açığının yalnızca teorik bir risk olmadığını ve kurumların yamalama işlemlerini önceliklendirmesi gerektiğini ortaya koyuyor.
SSL-VPN bağlantıları, çalışanların kurum içi ağlara uzaktan erişmesini sağladığı için saldırganların hedef aldığı önemli altyapılar arasında bulunuyor. Kimlik doğrulama mekanizmalarının aşılması, saldırganların geçerli erişim bilgilerini kullanarak kurum ağlarına ulaşma riskini artırıyor. Özellikle MFA korumasının devre dışı kalabildiği senaryolar, uzaktan erişim güvenliğini doğrudan etkiliyor.
SonicWall’ın yayınladığı güvenlik güncellemesi yalnızca MFA atlatma açığını kapsamıyor. Şirket, SonicOS içerisindeki altı ek güvenlik sorununu da aynı sürüm ailesindeki yamalarla giderdi. Bu açıklar arasında, belirli koşullarda kimlik doğrulaması gerektirmeden yetkisiz işlemler yapılmasına yol açabilen iki yönetim arayüzü güvenlik sorunu bulunuyor. Her iki açığın CVSS önem derecesi 8,8 olarak değerlendirildi.
Diğer güvenlik sorunları ise SSL-VPN ve TACACS+ hizmetlerini etkileyen ön kimlik doğrulama aşamasındaki arabellek taşması açıklarından oluşuyor. Bu hatalar, saldırganların hizmet engelleme (DoS) koşullarına yol açmasına neden olabiliyor. Ayrıca sanal güvenlik cihazlarını etkileyen zayıf parola karma algoritması kullanımı da güncellemeyle giderilen sorunlar arasında yer alıyor.
Güvenlik açıkları, SonicOS Gen7 ailesinde 7.3.3-7015 ve daha eski sürümleri, Gen8 ailesinde ise 8.2.2-8015 ve daha eski sürümleri etkiliyor. SonicWall, sorunları Gen7 için 7.3.4-7013, Gen8 için 8.2.3-8015 sürümleriyle düzeltti. Şirket ayrıca etkilenen sistemler için geçici bir çözüm bulunmadığını belirtiyor.
Yeni SSL-VPN açığına ilişkin uyarı, SonicWall’ın uzaktan erişim ürünlerini hedef alan önceki saldırıların ardından geldi. Güvenlik araştırmacıları ekim ayında, SMA1000 güvenli uzaktan erişim cihazlarını etkileyen CVE-2026-102255 kodlu kritik bir güvenlik açığına yönelik istismar girişimleri tespit etti. En yüksek önem derecesine sahip olarak sınıflandırılan bu açık, kimlik doğrulaması yapmayan saldırganların dahili işlevlere erişmesine ve yetkisiz işlemler gerçekleştirmesine yol açabiliyor.
Ekim ayındaki girişimlerden önce eylül ayında iki sıfırıncı gün açığı bir arada kullanılarak SMA1000 cihazlarında uzaktan kod çalıştırma saldırıları gerçekleştirilmişti. Temmuz ayında ise aynı ürün ailesini etkileyen iki farklı sıfırıncı gün açığının kötü amaçlı yazılım yerleştirmek için kullanıldığı bildirilmişti.
Arka arkaya gelen güvenlik olayları, kurumsal ağlara uzaktan erişim sağlayan SonicWall cihazlarının saldırganlar açısından önemli hedefler arasında yer aldığını gösteriyor. Kurumların yalnızca yeni CVE-2026-19868 açığını değil, kullandıkları SonicOS sürümlerini etkileyen diğer güvenlik sorunlarını da kontrol ederek güncelleme işlemlerini tamamlaması gerekiyor.
