2026 45. Hafta Siber Güvenlik Haberleri

SİBER GÜVENLİK GÜNDEMİ

45. Hafta Siber Güvenlik Haberleri

Haftanın Siber Güvenlik Terimi

Haftanın Exploitleri

Haftanın Zafiyetleri

Haftanın Zararlı Yazılımları

Haftanın Teknolojik Yenilikleri

Haber Yazısı 1

CISA KEV Kataloğuna 10 Yeni Zafiyet: Barracuda, Chrome, Cisco BroadWorks ve OpenSSH Açıkları İstismar Ediliyor

Tarih: 10 Kasım 2026

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), 9 ve 10 Kasım 2026 tarihlerinde aktif istismar kanıtı bulunan toplam on zafiyeti KEV kataloğuna eklemiştir. 9 Kasım'da GPUStack (CVE-2026-102895), SignalWire FreeSWITCH (CVE-2026-116779), OpenSSH (CVE-2026-123158) ve IBM Aspera Faspex (CVE-2026-123218) zafiyetleri; 10 Kasım'da ise Microsoft Outlook, Google Chromium, Barracuda Email Security Gateway (ESG), Cisco BroadWorks ve Openwave Messaging Webtop Media Transcoder ürünlerini etkileyen altı zafiyet kataloğa girmiştir. Federal sivil kurumlar (FCEB) için Barracuda zafiyetlerinde son tarih 13 Kasım 2026, 10 Kasım'da eklenen diğer zafiyetlerde ise 24 Kasım 2026 olarak belirlenmiştir.

Kataloğa eklenen zafiyetlerden müşteri ortamlarında yaygın kullanılan ürünleri etkileyenlerin teknik kırılımları, risk profilleri ve çözüm yolları şu şekildedir:

1. Barracuda Email Security Gateway – ESG (CVE-2026-116606, CVE-2026-111560)

Teknik Detay ve Etki (CVSS: 9.3 / 8.6): CVE-2026-116606, 9.4.0.030 öncesi ESG sürümlerinde kimlik doğrulaması yapılmadan yapılandırma içe aktarma (import) fonksiyonunun çağrılabilmesine ve hazırlanmış bir yedek arşivi geri yüklenerek cihazın genel yapılandırmasının değiştirilmesine izin veren bir kimlik doğrulama atlatma zafiyetidir. CVE-2026-111560 ise saat dilimi (timezone) alanı üzerinden işletim sistemi komutu enjeksiyonuna yol açmakta ve komutlar root yetkisiyle çalışmaktadır. İki zafiyet zincirlendiğinde saldırgan cihazda root erişimi elde edebilmektedir.

Barracuda, zafiyetlerin sınırlı sayıda kuruluşa karşı istismar edildiğini doğrulamıştır ve zincire ait istismar kodunun (watchTowr tarafından) yayımlandığı bildirilmiştir. İstismar için yönetim arayüzüne (Admin UI) erişim gerektiğinden, yönetim arayüzünün internetten erişilebilir olduğu kurulumlar daha yüksek risk altındadır. CVE-2026-111560 ayrıca Load Balancer ADC, Message Archiver, WAF Control Center, Web Application Firewall ve Web Security Gateway ürünlerini de etkilemektedir.

Çözüm olarak ESG için BNSF-40425 (9.4.017 ve üzeri) veya BNSF-40430 (9.4.017 öncesi) yamalarının uygulanması ve yönetim arayüzüne erişimin güvenilir iç ağlarla sınırlandırılması önerilmektedir. CISA, CVE-2026-116606 için ayrıca adli triyaj (forensic triage) yapılmasını da şart koşmuştur. Uygulama için son tarih 13 Kasım 2026'dır.

2. Google Chrome / Chromium (CVE-2026-125350)

Teknik Detay ve Etki (CVSS: 8.8): Chromium'un XML bileşeninde bulunan bir use-after-free (serbest bırakılmış belleğin kullanımı) hatasıdır. Uzaktan bir saldırgan, özel hazırlanmış bir web sayfası aracılığıyla tarayıcının korumalı alanı (sandbox) içinde rastgele kod çalıştırabilmektedir. Google, zafiyete ait bir istismar kodunun gerçek saldırılarda kullanıldığını doğrulamıştır.

Zafiyet Google Chrome, Microsoft Edge ve Opera dahil Chromium tabanlı birçok tarayıcıyı etkileyebilmektedir. Çözüm olarak Chrome 157.0.8103.50 veya üzeri (Extended Stable kanalı için 156.0.8078.96) sürümüne güncelleme yapılması ve tarayıcının yeniden başlatılması gerekmektedir. Güncellemelerin tamamlanması için son tarih 24 Kasım 2026'dır.

3. Cisco BroadWorks (CVE-2026-20320)

Teknik Detay ve Etki (CVSS: 7.5): BroadWorks'ün Open Client Interface (OCI) XML ayrıştırıcısında bulunan, XML harici varlık (XXE) referansının yeterince kısıtlanmamasından kaynaklanan bir zafiyettir. Kimlik doğrulaması yapmamış uzaktaki bir saldırgan, BroadWorks kullanıcısının yetkileriyle etkilenen sistemdeki hassas yapılandırma bilgilerini okuyabilmektedir.

Zafiyet Ağustos 2026'da giderilmiş olmasına rağmen aktif olarak istismar edilmektedir; yani yama uygulanmamış sistemler risk altındadır. Aynı gün kataloğa eklenen Openwave Messaging Webtop Media Transcoder zafiyeti (CVE-2026-111793, CVSS: 4.3) ise Ekim 2026'da giderilmiştir. Her iki zafiyet için son tarih 24 Kasım 2026'dır.

4. OpenSSH – SSHole (CVE-2026-123158)

Teknik Detay ve Etki (CVSS: 8.1): musl C kütüphanesi üzerinde çalışan ve PAM (Pluggable Authentication Modules) devre dışı bırakılmış OpenSSH sunucularını (Alpine Linux varsayılan yapılandırması dahil) etkileyen bir kimlik doğrulama zafiyetidir. Başarısız bir parola karması işleminin ürettiği değer, parolası sistem düzeyinde devre dışı bırakılmış hesapları belirten "*" değeriyle aynı olduğundan sshd bu durumu başarılı kimlik doğrulama olarak yorumlamaktadır. Saldırgan, 257-1.024 bayt uzunluğunda bir parola göndererek parola karması "*" olan hesaplara oturum açabilmektedir.

Zafiyet, geçerli parola karmasına sahip hesaplarda kimlik doğrulamayı atlatmaya izin vermemekte; glibc tabanlı Linux dağıtımlarını, Dropbear'ı, Linux dışı sistemleri ve parolaları PAM üzerinden denetleyen sistemleri etkilememektedir. Previdian, CVE yayımlanmasından yaklaşık dokuz saat içinde ilk istismar girişimini gözlemlemiş ve bir honeypot sistemde root erişimi elde edildiğini doğrulamıştır; 9 Kasım itibarıyla 13 farklı IP adresinden 20 istismar girişimi kaydedilmiştir. Sorun OpenSSH 10.6p2 sürümünde giderilmiştir.

KEV kataloğuna eklenen bu paket; e-posta güvenlik ağ geçidi, tarayıcı, VoIP altyapısı ve uzaktan erişim hizmeti gibi doğrudan internete bakan veya kullanıcı etkileşimiyle tetiklenen bileşenlerde yoğunlaşmaktadır. Barracuda için tanınan üç günlük kısa süre, zincirlenmiş root erişiminin ciddiyetini göstermektedir. Kurumların; Barracuda ürünlerinde yamayı uygulamasını ve yönetim arayüzünü dış erişime kapatmasını, Chromium tabanlı tarayıcıları güncelleyip yeniden başlatmasını, BroadWorks gibi daha önce yamalanmış ürünlerde sürüm doğrulaması yapmasını ve musl tabanlı Linux sistemlerde parolası tanımsız hesapları denetlemesini öncelikli olarak planlaması gerekmektedir.

Haberin ayrıntılarına buradan ulaşabilirsiniz.

Kaynakça

1. Siber Güvenlik Terimi
2. Exploitler
3. Zafiyetler
4. Zararlı Yazılımlar
5. Haber Yazıları
6. Teknolojik Yenilik