Cisco, E-posta Güvenlik Sistemlerindeki Sıfır Gün Açığı İçin Yama Yayınladı
Cisco, güvenli e-posta ağ geçidi ürününde saldırılarda aktif olarak kullanılan CVE-2026-76519 numaralı sıfır gün güvenlik açığını doğruladı. E-posta eklerinin hatalı işlenmesinden kaynaklanan açık, kimlik doğrulaması gerektirmeyen uzaktan saldırganların sistemde kök yetkileriyle komut çalıştırmasına olanak tanıyor. Şirket, etkilenen cihazların kontrol edilmesini, güvenlik yamalarının uygulanmasını ve olası ihlal belirtilerinin araştırılmasını öneriyor.
Zararlı E-posta Ekleri Cisco’nun Güvenlik Sistemlerinde Komut Çalıştırılmasına Yol Açıyor
Cisco’nun güvenlik duyurusuna göre CVE-2026-76519, şirketin güvenli e-posta ağ geçidi sistemindeki Gelişmiş Kötü Amaçlı Yazılım Koruması (AMP) özelliğinde bulunan bir güvenlik açığından kaynaklanıyor. Göreli yol geçişi olarak adlandırılan bu zafiyet, sistemin e-posta eklerini hatalı işlemesi nedeniyle ortaya çıkıyor.
Saldırganlar, özel hazırlanmış zararlı bir eki güvenlik güncellemesi uygulanmamış cihaza e-posta yoluyla göndererek açıktan yararlanabiliyor. Başarılı bir saldırı, cihazın işletim sistemine istenen dosyaların yazılmasına ve en yüksek yetki düzeyi olan kök yetkisiyle komut çalıştırılmasına olanak tanıyor.
Cisco Ürün Güvenliği Olay Müdahale Ekibi (PSIRT), Ekim 2026’da açığın gerçek saldırılarda kullanıldığını tespit etti. Şirket, saldırıların kapsamı ve saldırganların kimliği hakkında ayrıntı paylaşmadı. Ancak sistem üzerinde en yüksek yetkiyle işlem yapılabilmesi, etkilenen cihazlar ve bu cihazların koruduğu kurumsal ağlar açısından ciddi risk oluşturuyor.
CVE-2026-76519, dosya itibar hizmetinin etkin olduğu ve bir e-posta politikasına atandığı sistemleri etkiliyor. Ayrıca Content Scanner Tools bileşeninin 25.3.0.5525 sürümünden eski olması gerekiyor.
Sistem yöneticileri, cihazda kullanılan tarayıcı bileşeninin sürümünü komut satırı arayüzündeki contentscannerstatus komutuyla kontrol edebiliyor. Ardından web tabanlı yönetim ekranında ilgili e-posta politikalarının Gelişmiş Kötü Amaçlı Yazılım Koruması bölümüne girerek “Enable File Reputation” seçeneğinin etkin olup olmadığını inceleyebiliyor.
Gelen e-posta politikaları için Mail Policies > Incoming Mail Policies > Advanced Malware Protection, giden e-posta politikaları içinse Mail Policies > Outgoing Mail Policies > Advanced Malware Protection yolu izlenebiliyor.
Bu kontroller, kuruluşların hangi cihazların risk altında olduğunu belirlemesine yardımcı oluyor. Yöneticilerin hem yazılım sürümünü hem de ilgili güvenlik özelliklerinin yapılandırmasını incelemesi gerekiyor.
Cisco, saldırganların kök yetkisiyle komut çalıştırdıktan sonra saldırıya ilişkin izleri silebileceği konusunda uyarıyor. Şirket, bu nedenle güvenlik duvarı kayıtlarının ve ağ günlüklerinin şüpheli etkinlikler açısından incelenmesini öneriyor.
Özellikle harici veya şüpheli IP adresleriyle gerçekleştirilen dosya indirme ve yükleme işlemleri, olası bir ihlalin belirlenmesine yardımcı olabilir. Kuruluşların sistem kayıtlarında yer alan ihlal göstergelerini de değerlendirmesi gerekiyor.
Cisco, güvenlik duyurusunda üç farklı sistem mesajı için izlenecek adımları açıkladı. Olası bir ihlalin tespit edildiğini belirten mesajlarda şirketin teknik destek ekibiyle iletişime geçilmesi ve duyurudaki önerilerin uygulanması gerekiyor. Güvenlik taramasının tamamlanamadığını belirten mesajlarda Cisco Teknik Destek Merkezi’nden yardım alınması öneriliyor. İhlal göstergesi bulunmadığını bildiren sonuçlarda ise etkilenen sistemler için uygun güvenlik güncellemesinin yüklenmesi gerekiyor.
Şirket, bulut sistemlerinde koruyucu önlemleri devreye aldığını ve olası ihlal kanıtları tespit ettiği bulut hizmeti müşterileriyle iletişime geçtiğini de bildirdi.
Cisco, olası ihlal nedeniyle kendisiyle iletişime geçilen müşterilere cihazlarını güvenli yapılandırmaya döndürme çağrısı yaptı. Şirket, mümkün olduğunda cihazlarda kullanılan kimlik bilgilerinin ve kriptografik materyallerin yenilenmesini öneriyor. Yönetim erişiminin sınırlandırılması ve güçlü erişim denetimlerinin uygulanması da tavsiyeler arasında bulunuyor.
İnternet üzerindeki güvenlik cihazlarını takip eden Shadowserver, çevrim içi olarak erişilebilen yaklaşık 300 Cisco güvenli e-posta ağ geçidi örneğini izliyor. Ancak bu sayıya güvenlik araştırmalarında kullanılan tuzak sistemlerin veya güvenliği zaten sağlanmış cihazların ne ölçüde dahil olduğu bilinmiyor. Dolayısıyla bu rakam, doğrudan savunmasız cihazların sayısını göstermiyor.
Cisco, Temmuz 2024’te CVE-2024-20401 numaralı bir güvenlik açığı için düzeltme yayınladı. Söz konusu açık, zararlı e-posta ekleri üzerinden yeni kullanıcıların kök yetkileriyle eklenmesine veya cihazların kalıcı biçimde çökmesine neden olabiliyordu.
Şirket, Ocak 2026’da AsyncOS yazılımındaki CVE-2025-20393 numaralı kritik güvenlik açığını da giderdi. Bu açığın Kasım 2025’ten itibaren Cisco’nun e-posta güvenlik sistemlerini ve e-posta ile web yönetim cihazlarını hedef alan saldırılarda kullanıldığı bildirildi.
Daha yakın bir dönemde Cisco, e-posta ayrıştırma mekanizmasındaki CVE-2026-76461 numaralı başka bir sıfır gün açığı için de uyarı yayınladı. Bu açık da kimlik doğrulaması gerektirmeden uzaktan komut çalıştırılmasına olanak tanıyordu.
ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), Kasım 2021’den bu yana Cisco ürünlerindeki 100 güvenlik açığını Bilinen İstismar Edilen Güvenlik Açıkları kataloğuna ekledi. Bu açıkların yedisi fidye yazılımı saldırılarında kullanıldı. Yeni açığın aktif saldırılarda istismar edilmesi, Cisco ürünlerini kullanan kuruluşların güvenlik güncellemelerini ve olay müdahale süreçlerini önceliklendirmesini gerektiriyor.
