Cisco FMC Açıklarından Yararlanarak Kimlik Bilgileri Çalınıyor

Cisco, Secure Firewall Management Center (FMC) yazılımındaki iki kritik açığın, fidye yazılımı ve devlet destekli saldırılarla bağlantılı üç farklı tehdit grubunca istismar edildiğini duyurdu. Bu durum, siber güvenlik alanında ciddi endişelere yol açtı. Özellikle, CVE-2026-20079 ve CVE-2026-20316 kodlu iki güvenlik açığı, saldırganların sistemlere erişim sağlamasına olanak tanıyor.

CVE-2026-20079 Açığı

CVE-2026-20079, FMC yazılımının web arayüzündeki bir kimlik doğrulama atlatma açığıdır. Bu açık, kimlik doğrulaması yapılmamış bir uzaktan saldırganın, etkilenen bir cihaza erişim sağlamasını ve kök erişimi elde etmesini mümkün kılıyor. Bu durum, saldırganların cihaz üzerinde script dosyaları çalıştırarak sistemin kontrolünü ele geçirmesine yol açabilir.

CVE-2026-20316 Açığı

İkinci açık olan CVE-2026-20316 ise, düşük ayrıcalıklara sahip bir hesapla etkilenen bir cihaza giriş yapılmasına olanak tanıyor. Bu da hassas verilere erişim sağlanmasına neden olabilir. Bu açık, diğer Cisco Secure FMC açıklarıyla birleştirilerek ayrıcalıkların yükseltilmesine imkan tanıyor.

Tehdit Grupları ve Faaliyetleri

Cisco Talos, FMC örneklerinin istismarına yönelik üç farklı tehdit grubu tespit etti. Bu gruplar arasında:

• UAT-12197: CVE-2026-20079 açığını kullanarak JSP tabanlı web shell'ler ve bir Java Archive (JAR) tabanlı komut yürütücü dağıttı.
• UAT-11823: Hem CVE-2026-20079 hem de CVE-2026-20316 açıklarını istismar ederek Netcat tabanlı bir ters shell ve iki bash scripti ile yönetilen cihazların yapılandırmalarını topladı.
• UAT-11988: Bu fidye yazılımı operasyonu, CVE-2026-20316 açığını kullanarak sisteme giriş yaptı ve FMC'nin yerleşik araçlarını kullanarak kapsamlı bir keşif gerçekleştirdi.

Güncellemeler ve Öneriler

Cisco, etkilenen yazılım sürümleri için kullanıcıların, CVE-2026-20079 ve CVE-2026-20316 açıkları için daha önce yayınlanan sıcak yamanın uygulanması konusunda güçlü bir şekilde uyarıda bulundu. Ayrıca, şirket, önümüzdeki hafta içindeki çeşitli iç keşfedilen güvenlik açıkları için kapsamlı bir güçlendirme sürümü göndermeyi planladığını belirtti.

Son olarak, ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), CVE-2026-20079 açığını Bilinen İstismar Edilen Güvenlik Açıkları (KEV) kataloğuna ekleyerek, Federal Sivil İdare Daireleri'nin bu yamaları 12 Eylül 2026 tarihine kadar uygulamasını zorunlu kıldı. CVE-2026-20316 açığı ise Temmuz 2026'nın sonlarında KEV kataloğuna dahil edildi.

Sonuç olarak, Cisco'nun açıkladığı bu güvenlik açıkları, hem bireysel kullanıcılar hem de kurumlar için ciddi tehditler oluşturuyor. Güvenlik yamalarının zamanında uygulanması, olası siber saldırıların önüne geçilmesi açısından büyük önem taşıyor.