Cisco Expressway CVE-2026-76466 Açığı: Gömülü Kimlikle Root Komutu PoC

Yaması eksik kümeli Cisco Expressway cihazlarında gömülü kimlikle root yetkisi alınabiliyor. 21 Ekim 2026'da kapatılan açık için PoC kodu paylaşıldı.

Cisco'nun Amsterdam'daki ofis binasının cephesindeki Cisco logosu (Wikimedia Commons)

Cisco'nun 21 Ekim 2026'da yamaladığı 9,8 CVSS puanlı Cisco Expressway güvenlik açığı CVE-2026-76466 için 12 Kasım 2026'da halka açık kavram kanıtı (PoC) niteliğinde istismar kodu paylaşıldı. GBHackers ve Cyber Press haberlerine göre bir güvenlik araştırmacısı, kümedeki cihazları tarayan bir tespit aracıyla birlikte paylaştığı kodla kimlik doğrulaması olmadan işletim sisteminde root yetkisiyle komut çalıştırılabildiğini gösterdi. Cisco PSIRT danışma tarihinde açığın kötüye kullanıldığından haberdar olmadığını bildirirken, güvenlik açığı 12 Kasım 2026 itibarıyla CISA'nın KEV kataloğunda da yer almıyor.

Açık nasıl çalışıyor

Cisco'nun 21 Ekim 2026 günü TSİ 19.00'da yayımladığı cisco-sa-vcs-static-cred-hr7EWZ8t kodlu güvenlik danışmasına göre CSCww27732 hata kimlikli açık, sabit kodlu kimlik bilgisi kullanımından (CWE-798) kaynaklanıyor. Expressway'in veritabanı hizmeti özelliğinde bulunan zafiyet; kalıcı çerezlerin kullanılması ve kümeleme için TLS Verify Mode etkin olsa bile istemci sertifikalarının doğrulanmaması nedeniyle ortaya çıkıyor. Cihaza ağ erişimi olan uzak bir saldırgan, bu çerezlerle veritabanı hizmetine bağlanarak belirli uzak yordam çağrısı (RPC) komutlarını çalıştırabiliyor.

Araştırmacı analizine dayanan teknik aktarımlara göre Expressway'in küme veritabanı hizmeti Erlang/OTP üzerinde çalışıyor ve her küme düğümü TCP 4372 portunda TLS üzerinden Erlang dağıtım trafiğini dinliyor. Küme yöneticisi modülüne (cm_server) bakım amacıyla eski TANDBERG önekini taşıyan «wombat@» düğüm kimliği ve buna eşleşen sabit çerez doğrudan derlenmiş durumda bulunuyor; bu sayede etkilenen sürümün her kurulumunda aynı değerler yer alıyor. Fabrika varsayılanı olan TLS Permissive modunda sunucu istemci sertifikasını doğrulamadığı için TCP 4372 portuna TLS 1.3 ile bağlanan taraf, gömülü kimlik ve çerezle el sıkışmayı tamamlayıp root yetkisiyle komut çalıştırabiliyor; araştırmacının denemesinde kullanıcı kimliği sorgusu 0 (root) sonucunu döndürdü.

Hangi cihazlar etkileniyor, düzeltme ne

Güvenlik açığı, küme (cluster) yapısında yapılandırılmış ve savunmasız sürüm çalıştıran Cisco Expressway-C (Core) ile Expressway-E (Edge) cihazlarının hem sanal hem de donanım sürümlerini etkiliyor. Cisco, X15.5.3 ve önceki sürümler için düzeltmeyi Ekim 2026 Expressway sertleştirme sürümünün parçası olan X15.5.20 ile sundu; X14 ve önceki sürümleri kullanan kurulumların da düzeltilmiş bir sürüme geçmesi gerekiyor.

Cisco'nun resmi danışmasında açık için herhangi bir geçici çözüm (workaround) bulunmadığı belirtiliyor. Buna karşılık güvenlik haber sitelerinde yer alan değerlendirmelerde, yama uygulanana kadar TCP 4371 ve 4372 portlarının yalnız yetkili küme eşlerine açık tutulması ve diğer adreslerden gelen bağlantılar için uyarı tanımlanması olası azaltım adımı olarak aktarılıyor.

PoC'nin sınırları

Paylaşılan PoC kodu, iki düğümlü ve TLS Permissive modunda çalışan Expressway-C X15.3.2 kümesi üzerinde doğrulandı. Araştırmacı TLS Enforcing modunu, Expressway-E cihazlarını, X14 sürümlerini ve yama içeren X15.5.20 sürümünü test etmedi. Araçta ayrıca hedef sistemde komut çalıştırmadan yalnız kimlik doğrulaması yaparak durumu sınayan bir kontrol modu yer alıyor.

Türkiye açısından

Kurumların Cisco ses, görüntü ve işbirliği sistemlerine dışarıdan erişim sağlayan bir ağ geçidi olan Cisco Expressway ailesinde özellikle Expressway-E bileşeni ağın dış ucunda konumlanıyor; GBHackers ve Cyber Press, ağ ucundaki bu tür ses ve görüntü geçitlerinin saldırganlar için değerli hedefler olduğunu vurguluyor. T.C. Siber Güvenlik Başkanlığı, 21 Ekim'deki Cisco güvenlik paketini 22 Ekim 2026'da TR-26-1374 kodlu Cisco Çoklu Ürün Güvenlik Bildirimi ile duyurmuştu; CVE-2026-76466 da o listede yer almış ve ayrıntılar SGB'nin 22 Ekim Cisco bildirimi haberinde aktarılmıştı. Türkiye'de bu açıktan etkilenen kurum sayısı açıklanmadı; halka açık istismar kodunun paylaşılması ise yamayı ertelemiş kümeli Expressway kurulumları açısından riski artırıyor.