Rafta kablolu bir Cisco ASA 5510 güvenlik duvarının ön paneli; ASA ailesini gösteren temsili fotoğraf (açıktan etkilenen sürüm ya da cihaz olduğu anlamına gelmez)

Cisco, 28 Ekim 2026'da (22:15 TSİ) yayımladığı güvenlik danışma notunda Secure Firewall ASA ve FTD yazılımlarının uzaktan erişim SSL VPN hizmetinde yeni bir güvenlik açığı duyurdu. CVE-2026-76418 olarak tanımlanan açık, kimliği doğrulanmamış uzaktaki bir saldırganın güvenlik duvarını beklenmedik biçimde yeniden başlatarak hizmet dışı bırakmasına yol açıyor. Cisco'nun CVSS değerlendirmesine göre açığın gizlilik ve bütünlük üzerinde etkisi yok; etki cihazın yeniden başlamasıyla oluşan hizmet kesintisiyle sınırlı. Cisco'nun Ürün Güvenliği Olay Müdahale Ekibi (PSIRT), Ekim 2026'da açığın aktif olarak istismar edildiğinden haberdar olduğunu bildirdi. CVSS 3.1 taban puanı 8,6 olarak belirlenen yüksek dereceli açık için düzeltilmiş sürümler yayımlandı; geçici bir çözüm ise bulunmuyor.

Hangi cihazlar etkileniyor

Sorun, Cisco Secure Firewall Adaptive Security Appliance (ASA) Software ve Cisco Secure Firewall Threat Defense (FTD) Software çalıştıran cihazların uzaktan erişim VPN bileşeninde ortaya çıkıyor. Cihazın etkilenmesi için savunmasız bir sürümün çalışması, SSL uzaktan erişim VPN giriş hizmetinin en az bir ağ arayüzünde etkin ve erişilebilir olması ve bir tunnel group üzerinde ikincil kimlik doğrulama tanımlanmış bulunması gerekiyor. Cisco'ya göre etkilenen işleme yoluna ulaşmak için başarılı bir VPN girişi gerekmiyor.

Sistem yöneticilerinin yapılandırmayı ayrıntılı denetlemesi gerekiyor. Tunnel group listesi açıksa, giriş sayfasında görünmeyenler ve varsayılan grup olan DefaultWEBVPNGroup dahil tüm bağlantı profillerinde ikincil kimlik doğrulama ayarı incelenmeli. Bu liste kapalı olduğunda dahi DefaultWEBVPNGroup profili ikincil kimlik doğrulama kullanıyorsa cihaz etkilenmeye devam ediyor. FTD tarafında uzaktan erişim VPN yapılandırması Secure Firewall Management Center (FMC) ya da Secure Firewall Device Manager (FDM) üzerinden yönetildiği için denetim dağıtılmış VPN politikası ve cihazın çalışan ayarları üzerinden yapılmalı.

Cisco, bulut tabanlı Cloud-delivered Firewall (CDFW), Cloud-delivered Firewall Management Center (cdFMC), Secure Access ve Secure FMC Software ürünlerinin bu açıktan etkilenmediğini bildirdi.

Hangi sürüm açığı kapatıyor

Açık, Cisco Teknik Destek Merkezi'ne (TAC) açılan bir destek vakasının çözümü sırasında bulundu ve şirket açığı kapatan yazılım güncellemelerini yayımladı. Güvenlik açığını kapatan ilk sürümler şunlardır:

Cisco, yöneticilerin kendi cihazlarındaki sürümleri doğrulaması için Cisco Software Checker aracının kullanılmasını öneriyor.

Ne yapılmalı

Cisco'ya göre açığı gideren bir geçici çözüm (workaround) bulunmuyor. Şirket bunun yerine bir hafifletme yöntemi tanımlıyor: kullanıcı tanımlı tunnel group listesinde ya da DefaultWEBVPNGroup profilinde ikincil kimlik doğrulamayı devre dışı bırakmak. DefaultWEBVPNGroup ikincil kimlik doğrulama kullanmıyorsa Cisco tunnel group listesinin kapatılmasını öneriyor; bu durumda kullanıcılar bağlantı profilini listeden seçemiyor ve kullanacakları doğru profili bilmeleri gerekiyor. DefaultWEBVPNGroup ikincil kimlik doğrulama kullanıyorsa bu profilde ikincil kimlik doğrulamanın kaldırılması gerekiyor; Cisco bunun uzaktan erişim VPN'inin güvenlik düzeyini düşürdüğünü belirtiyor.

Cisco, hafifletmenin test ortamında başarılı olduğunu ancak her kurumun uygulamadan önce bunu kendi ortamında değerlendirmesi gerektiğini, bu tür önlemlerin ağın işlevselliğini, performansını ya da güvenlik düzeyini olumsuz etkileyebileceğini vurguluyor. Şirket hafifletmeleri yalnızca geçici önlem sayıyor ve düzeltilmiş sürüme yükseltmeyi güçlü biçimde öneriyor. Saldırıların arkasındaki taraflar, hedefler ve saldırı sayısı hakkında bilgi paylaşılmadı.

Türkiye açısından

29 Ekim 2026 saat 12:01 TSİ itibarıyla T.C. Siber Güvenlik Başkanlığı'nın (SGB) bu açık hakkında yayımlanmış bir bildirimi bulunmuyor. Açık ayrıca ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı'nın (CISA) istismar edildiği bilinen açıklar kataloğunda da yer almıyor. Türkiye'ye özgü doğrulanmış bir vaka verisi bulunmuyor. Uzaktan erişim için Cisco ASA ya da FTD üzerinde SSL VPN kullanan kurumların yöneticilerinin cihazlarındaki yazılım sürümünü ve ikincil kimlik doğrulama ayarlarını gecikmeden denetlemesi öneriliyor. SGB, Ekim ayında saldırılarda kullanılan bir başka Cisco açığı için de Cisco Catalyst SD-WAN Manager uyarısı yayımlamıştı.

Kaynaklar

Kapak görseli (temsili): Cisco ASA 5510 güvenlik duvarı; etkilenen cihaz değildir — ShakataGaNai / Wikimedia Commons, CC BY-SA 3.0 (kırpıldı, 1200×675 küçültüldü).