Kritik Cisco SD-WAN Güvenlik Açığı 2023’ten Beri Sıfırıncı Gün Saldırılarında Kullanılıyor

Cisco, Catalyst SD-WAN ürün ailesinde kritik seviyede bir güvenlik açığı bulunduğunu duyurdu. CVE-2026-20127 koduyla izlenen ve CVSS puanlamasında 10 üzerinden 10 alan Cisco SD-WAN güvenlik açığı, kimlik doğrulama mekanizmalarının atlatılmasına olanak tanıyor. Söz konusu açığın 2023 yılından bu yana sıfırıncı gün saldırılarında aktif biçimde kullanıldığı belirtiliyor. Güvenlik açığını başarıyla istismar eden saldırganlar, ağ denetleyicilerinin kontrolünü ele geçirebiliyor ve hedef ağlara yetkisiz, kötü niyetli eş cihazlar ekleyebiliyor.

SD-WAN Ağlarında Yetkisiz Erişim Tehlikesi Artıyor

Yayınlanan danışmanlık belgesine göre sorun peering kimlik doğrulama mekanizmasının düzgün çalışmamasından kaynaklanıyor. SD-WAN ağ yönetim açığı sayesinde saldırgan bu güvenlik açığını istismar ederek etkilenen sisteme özel hazırlanmış istekler gönderebiliyor. Başarılı bir istismar saldırganın dahili yüksek ayrıcalıklı root olmayan bir kullanıcı hesabıyla Cisco Catalyst SD-WAN Controller’a giriş yapmasına olanak tanıyor. Ele geçirilen hesapla NETCONF’a erişilebiliyor ve SD-WAN yapılandırması manipüle edilebiliyor.

Cisco Catalyst SD-WAN yazılım tabanlı bir ağ platformu olarak şube ofisleri veri merkezleri ve bulut ortamlarını merkezi olarak yönetilen bir sistem üzerinden birbirine bağlıyor. Catalyst SD-WAN kritik açık istismarı sonucunda saldırgan meşru görünen kötü niyetli bir cihazı SD-WAN ortamına ekleyebiliyor. Bu cihaz daha sonra şifreli bağlantılar kurabiliyor ve saldırganın kontrolündeki ağları duyurabiliyor. Bu durum saldırganın kuruluşun ağında daha derinlere ilerlemesine olanak tanıyor. Cisco SD-WAN güvenlik açığı sayesinde gerçekleştirilen bu tür saldırılar kurumsal ağları ciddi şekilde tehdit ediyor.

Cisco Talos ayrı bir danışmanlık belgesinde bu güvenlik açığının saldırılarda aktif olarak istismar edildiğini duyurdu. Şirket kötü niyetli aktiviteyi UAT-8616 koduyla takip ediyor. Bu aktivitenin son derece gelişmiş bir tehdit aktörü tarafından gerçekleştirildiği yüksek güvenle değerlendiriliyor. Talos telemetri verileri istismarın en az 2023 yılına kadar uzandığını gösteriyor. İstihbarat ortakları tehdit aktörünün muhtemelen daha eski bir yazılım sürümüne geçerek CVE-2022-20775’i istismar ettiğini ve root erişimi elde ettiğini belirtiyor. Daha sonra orijinal firmware sürümünü geri yükleyerek tespit edilmekten kurtuluyor.

İstismarın duyurusu Cisco ile ABD ve İngiltere yetkilileri arasında koordineli bir şekilde yapıldı. CISA 25 Şubat 2026’da Acil Direktif 26-03’ü yayınlayarak federal kurumlara Cisco SD-WAN sistemlerini envanterlemelerini adli bilişim yapılarını toplamalarını harici günlük depolamayı sağlamalarını güncellemeleri uygulamalarını ve olası uzlaşmaları araştırmalarını emretti. SD-WAN kontrol cihazı tehlikesi konusunda uyarıda bulunan CISA istismarın federal ağlar için yakın bir tehdit oluşturduğunu belirtti ve cihazların 27 Şubat 2026’ya kadar yamalanması gerektiğini duyurdu.

CISA ve İngiltere Ulusal Siber Güvenlik Merkezi ortak bir avlanma ve sağlamlaştırma kılavuzu yayınladı. Kılavuzda kötü niyetli aktörlerin küresel çapta Cisco Catalyst SD-WAN dağıtımlarını hedef aldığı uyarısı yapılıyor. Yetkililer SD-WAN yönetim arayüzlerinin asla internete açılmaması gerektiğini vurguluyor. Tüm bu uyarılar Cisco SD-WAN güvenlik açığı konusunda ne kadar acil önlem alınması gerektiğini gözler önüne seriyor.

Cisco güvenlik açığını gidermek için yazılım güncellemeleri yayınladı. Şirket sorunu tamamen ortadan kaldıracak herhangi bir geçici çözüm bulunmadığını belirtti. Cisco ağ güvenliği zafiyeti nedeniyle kuruluşların güncellemeleri hemen uygulaması gerekiyor.

Cisco ve Talos yöneticileri internete açık Catalyst SD-WAN Controller sistemlerindeki günlükleri yetkisiz peering olayları ve şüpheli kimlik doğrulama aktiviteleri açısından dikkatle incelemeye çağırıyor. Tehlike göstergeleri arasında bilinmeyen IP adreslerinden gelen başarılı kimlik doğrulama girişimleri bulunuyor.

Yöneticiler bu IP adreslerini SD-WAN Manager arayüzünde listelenen yapılandırılmış Sistem IP’leri ve bilinen yönetim altyapısıyla karşılaştırmalı. Bilinmeyen bir IP adresi başarıyla kimlik doğruladıysa cihazların ele geçirildiği düşünülmeli ve Cisco TAC kasası açılmalı.

Talos ve hükümet danışmanlıkları ek tehlike göstergeleri paylaştı. Bunlar arasında kötü niyetli kullanıcı hesaplarının oluşturulup silinmesi beklenmeyen root girişleri vmanage-admin veya root hesaplarında yetkisiz SSH anahtarları ve PermitRootLogin’i etkinleştiren değişiklikler yer alıyor.

Yöneticiler ayrıca alışılmadık derecede küçük veya eksik günlük dosyalarına dikkat etmeli. Bu durum günlük kurcalama belirtisi olabilir. Yazılım düşürmeleri ve yeniden başlatmalar da CVE-2022-20775 istismarına işaret edebilir. Tüm bu önlemlerin ardından kuruluşların Cisco SD-WAN güvenlik açığı nedeniyle sistemlerini acilen güncellemesi ve sürekli izleme yapması gerekiyor.