Fortinet Güvenlik Açığı Kritik Seviyede Risk Oluşturmaya Devam Ediyor
Fortinet güvenlik açığı, Aralık ayında giderildiği açıklanmasına rağmen sahada etkisini sürdürerek siber güvenlik gündeminin merkezine yerleşti. Şirket, FortiCloud SSO altyapısını hedef alan kimlik doğrulama atlatma saldırılarının, en güncel yazılım sürümünü kullanan Fortinet güvenlik duvarlarında da tespit edildiğini resmî olarak doğruladı. Siber güvenlik uzmanları, yaşanan gelişmenin kurumsal ağ güvenliği açısından yüksek risk oluşturduğunu değerlendiriyor.
Saldırganlar Güncel Fortinet Cihazlarını Hedef Almaya Devam Ediyor
Siber güvenlik şirketi Arctic Wolf, 15 Ocak itibarıyla başlayan saldırı dalgasında tehdit aktörlerinin Fortinet cihazlarına çok kısa süre içinde erişim sağladığını tespit etti. Araştırma ekipleri, saldırganların VPN erişimine sahip kullanıcı hesapları oluşturduğunu ve güvenlik duvarı yapılandırmalarını saniyeler içinde ele geçirdiğini raporladı. Güvenlik analistleri, saldırı sürecinin otomatik araçlar aracılığıyla yürütüldüğünü değerlendirdi.
Uzman ekipler, tespit edilen saldırı yönteminin Aralık ayında gündeme gelen Fortinet SSO güvenlik açığı ile teknik açıdan büyük benzerlik taşıdığını ifade etti. Analiz sonuçları, daha önce yayımlanan yamaların yeni saldırı yolunu tamamen engelleyemediğini ortaya koydu.
Fortinet ürün güvenliği ekipleri, sahadan gelen raporların ardından detaylı bir teknik inceleme süreci başlattı. Fortinet Bilgi Güvenliği Direktörü Carl Windsor, en güncel yazılım sürümüne sahip bazı cihazların yetkisiz erişime maruz kaldığını doğruladı. Windsor, bu durumun daha önce tanımlanmamış farklı bir istismar yoluna işaret ettiğini açıkladı.
Şirket yetkilileri, mevcut saldırıların FortiCloud SSO altyapısı üzerinden gerçekleştiğini gözlemlediklerini aktardı. Güvenlik ekipleri, Fortinet FortiCloud SSO açığı riskinin yalnızca bu sistemle sınırlı kalmayabileceğini ve SAML tabanlı tüm tek oturum açma yapılandırmalarını etkileyebileceğini vurguladı. Fortinet yönetimi, kapsamlı bir güvenlik güncellemesi üzerinde çalışıldığını bildirdi.
Etkilenen Fortinet müşterileri, sistem günlüklerinde saldırganların SSO oturum açma işlemi sonrasında yönetici yetkisine sahip hesaplar oluşturduğunu tespit etti. Paylaşılan log kayıtları, saldırıların belirli IP adresleri üzerinden yürütüldüğünü gösterdi. Güvenlik uzmanları, bu teknik izlerin Aralık ayında raporlanan saldırı verileriyle örtüştüğünü belirtti.
Uzman değerlendirmeleri, saldırganların yapılandırma dosyalarına erişim sağlamasının ağ genelinde kalıcı güvenlik riskleri doğurabileceğini ortaya koydu. Analistler, Fortinet kimlik doğrulama zafiyeti nedeniyle yalnızca cihazların değil, bu cihazlara bağlı tüm altyapının etkilenebileceğini ifade etti.
Fortinet Kullanıcılara Geçici Güvenlik Önlemleri Sundu
Fortinet yönetimi, kalıcı çözüm yayımlanana kadar bazı geçici güvenlik önlemlerinin uygulanmasını önerdi. Şirket, yönetim arayüzlerine internet üzerinden erişimin sınırlandırılmasını ve yalnızca belirlenen IP adreslerine izin verilmesini tavsiye etti. Yetkililer, FortiCloud SSO özelliğinin geçici olarak devre dışı bırakılmasının riski azaltabileceğini bildirdi.
Siber güvenlik ekipleri, Fortinet güvenlik açığı göstergeleri tespit edilen sistemlerin ihlal edilmiş kabul edilmesi gerektiğini vurguladı. Uzmanlar, tüm kimlik bilgilerinin yenilenmesini ve yapılandırmaların güvenilir yedekler üzerinden geri yüklenmesini önerdi.
İnternet güvenliği izleme kuruluşu Shadowserver, internete açık durumda bulunan yaklaşık 11 bin Fortinet cihazında FortiCloud SSO özelliğinin aktif olduğunu raporladı. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı, Fortinet güvenlik açığı vakasını aktif olarak istismar edilen zafiyetler listesine ekledi. Kurum, federal kurumlara kısa süre içinde önlem alınması yönünde resmî talimat verdi. Siber güvenlik çevreleri, yayımlanacak yeni güncellemenin Fortinet güvenlik açığı riskini tamamen ortadan kaldırıp kaldırmayacağını yakından izliyor.
