SGB'den Cisco SD-WAN Manager Açığı İçin TR-26-1371 Uyarısı

SGB, Cisco Catalyst SD-WAN Manager'daki CVE-2026-76504 açığı için TR-26-1371 bildirimi yayımladı. Saldırılarda kullanılan 9,8 puanlı açık için yama önerildi.

Cisco San Jose kampüsündeki Cisco logolu giriş tabelası (temsili)

Siber Güvenlik Başkanlığı (SGB), Cisco Catalyst SD-WAN Manager'daki CVE-2026-76504 açığı için 21 Ekim 2026'da TR-26-1371 numaralı ayrıntılı güvenlik duyurusu yayımladı. Cisco açığı 30 Eylül 2026'da duyurmuş ve gerçek saldırılarda kullanıldığını doğrulamıştı. 9,8 CVSS puanına sahip açık, uzaktaki saldırganların kimlik doğrulaması olmadan yönetim API'sine admin kullanıcısının yetkileriyle erişmesine olanak tanıyor. Eski adı vManage olan Catalyst SD-WAN Manager, kurumların geniş alan ağındaki yönlendiricileri, ağ yapılandırmalarını ve güvenlik politikalarını tek bir web panelinden yönetmesini sağlıyor.

Açık ne yapıyor

Sorun, API oturum açma mekanizmasında HTTP isteklerindeki URI kodlamasının hatalı işlenmesinden kaynaklanıyor. Adresteki karakterlerin kodlanış biçimi incelenirken yapılan hata, belirli API uç noktalarını koruyan kimlik doğrulama kuralının atlatılmasına yol açıyor. Saldırgan bu sayede sisteme admin kullanıcısı yetkisiyle bağlanabiliyor. SD-WAN Manager üzerinde admin kullanıcısı varsayılan olarak cihazdaki tüm işlemleri yapabilen netadmin rolünü taşıyor. Bu yetkiyle yönetilen SD-WAN ağının politikaları görüntülenebiliyor ya da değiştirilebiliyor. SGB duyurusunda, yönetici düzeyindeki bu API erişiminin kendiliğinden işletim sisteminde doğrudan root yetkisi ya da uzaktan kod çalıştırma (RCE) anlamına gelmediği belirtildi.

Açık herhangi bir özel ayara bağlı olmadan tüm SD-WAN Manager sürümlerini etkiliyor ve bir Cisco teknik destek vakasının incelenmesi sırasında bulundu. CISA, açığı 30 Eylül 2026'da bilinen sömürülen zafiyetler kataloğuna ekledi. Saldırılar şu ana kadar belirli bir tehdit aktörüne ya da kampanyaya atfedilmedi. SGB'nin aktardığı bağımsız analiz (VulnCheck) verilerine göre, 1 Ekim 2026 itibarıyla internetten erişilebilen yaklaşık 1.500 SD-WAN Manager sistemi tespit edildi; bu veri ele geçirilmiş sistemleri değil, yalnızca internete açık durumdaki yönetim panellerini gösteriyor.

Hangi sürüme geçmeli

Zafiyet için geçici bir çözüm bulunmuyor. Ağ yöneticilerinin sistemlerini ilgili sürüm dalındaki düzeltilmiş paketlere yükseltmesi gerekiyor:

20.9 dalı için 20.9.10.1
20.12 dalı için 20.12.8.2
20.15 dalı için 20.15.6.1
20.18 dalı için 20.18.4.1
26.1 dalı için 26.1.2.1
26.2 dalı için 26.2.1
20.9 öncesi sürümler doğrudan desteklenen düzeltilmiş bir sürüme taşınmalı

Cisco'nun yönettiği bulut hizmeti 20.15.605 sürümüyle güncellendiği için bulut kullanıcılarının ek bir işlem yapması gerekmiyor. Şirket içi sunucularda çalışan panellerin internete açık bırakılmaması ya da erişimin yalnızca belirli güvenilir adreslerle sınırlandırılması öneriliyor. Cisco'nun 2 Ekim 2026'da yayımladığı Live Protect koruması yalnızca geçici ve kısmi koruma sağlıyor; adreste URI kodlaması kullanan meşru kullanıcıların oturum açmasını engelleyebiliyor ve kalıcı yamanın yerine geçmiyor.

Saldırı izleri nasıl aranır

Olası sızma girişimlerini incelemek için iki ana günlük dosyasının taranması gerekiyor. İlk olarak /var/log/nms/containers/service-proxy/serviceproxy-access.log dosyasında bilinmeyen IP adreslerinden gelen, URI kodlaması içeren ve j_security_check ile bağlantılı istekler aranmalı. İkinci olarak /var/log/nms/vmanage-server.log dosyasında adı viptela-reserved- ile başlayan hesaplar için yapılan oturum açma kayıtları kontrol edilmeli. Bu kayıtların olağan yönetim trafiğinde de görülebileceği ve HTTP 200 kodunun tek başına başarılı bir sızma kanıtı olmadığı unutulmamalı. Kurulan yama daha önce gerçekleşen yetkisiz işlemleri geri almadığı için sistemdeki kullanıcı listeleri ve politika değişiklikleri ayrıntılı incelenmeli; şüpheli durumlarda request admin-tech çıktısıyla birlikte Cisco desteğine başvurulmalı. Cisco'nun Snort kuralı 67179 atlatma girişimlerini tespit ediyor ancak saldırının başarılı olduğunu kanıtlamıyor.

Türkiye açısından

Siber Güvenlik Başkanlığı, yayımladığı TR-26-1371 duyurusuyla Türkiye'deki kurumlara tespit adımlarını ve sürüm yükseltme gereksinimlerini aktardı. SD-WAN Manager'ı şirket içi sunucularında çalıştıran ağ ekiplerinin sürümlerini denetlemesi, internete açık panellerin dış erişimini kapatması ve günlük kayıtlarını 30 Eylül 2026 öncesinden başlayarak geriye dönük incelemesi gerekiyor. SGB daha önce Cisco çoklu ürün güvenlik bildirimi ile ağ cihazlarındaki riskleri duyurmuş, Eylül ayında ise Cisco Secure Email Gateway açığının aktif saldırılarda kullanıldığı bildirilmişti. SGB, aynı ürün ailesinde 2026'da CVE-2026-20127 gibi başka açıkların da istismar edildiğini, ancak bunun CVE-2026-76504'ün o saldırı zincirine dahil olduğu anlamına gelmediğini kaydetti.