Kabinde sarı fiber kablolarla bağlı bir Cisco ASR 9000 Series yönlendirici kasası; kurumsal ağ altyapısını gösteren temsili fotoğraf (Catalyst SD-WAN bileşeni ya da etkilenen cihaz değildir)

Lumen Black Lotus Labs ekibinin 28 Ekim 2026 tarihli raporuna göre Volt Typhoon, Cisco Catalyst SD-WAN sistemlerindeki CVSS 3.1 taban puanı 10,0 olan CVE-2026-20127 açığını 2025 sonunda istismar ediyordu ve bu istismar Cisco'nun açığı Şubat 2026'da duyurmasından çok sonra da sürdü. Aynı gün Cisco Talos, UAT-11473 adını verdiği bir grubun bu açık üzerinden SD-WAN denetleyicilerinden IPsec anahtar materyali toplayan KeyDrift çerçevesini anlattı. Cisco da 28 Ekim 2026'da güvenlik danışma notuna Talos yazısının bağlantısını ekledi.

Silent Train nedir

Lumen Black Lotus Labs, Volt Typhoon grubunu Çin Halk Cumhuriyeti'nin desteklediği bir grup olarak tanımlıyor. Raporda grubun Silent Train adını verdiği operasyonel altyapı ele alınıyor. Kasım 2023'ten beri takip edilen bu yapı; ele geçirilmiş ev ve küçük ofis yönlendiricileri, nesnelerin interneti cihazları ve kurumsal sistemlerden oluşturulan dinamik röle zincirlerinden meydana geliyor. İki dakikadan kısa sürede kurulup ortalama dört saat süren oturumların ardından dağıtılan zincirlerde 27'den fazla cihaz türü belirlendi. Faaliyetlerin hafta içi Çin yerel saatiyle 09:00 ile 22:00 arasında yoğunlaştığı ve oturum bitiminde sistem izlerinin temizlendiği aktarılıyor.

Lumen'in analizine göre Silent Train altyapısı doğrudan istismar, kimlik bilgisi toplama ve veri sızdırma adımlarında işletildi. Bu ağ üzerinden dört doğrulanmış ve bir olası kampanyada, üreticiler tarafından henüz duyurulmamış açıklar hedef alındı. Doğrulanmış kampanyalar Versa Director, N-able N-central, Cisco Catalyst SD-WAN ve VeloCloud Orchestrator sistemlerini hedef aldı. Lumen'in orta güvenle değerlendirdiği olası kampanya ise 30'dan fazla kurbanı bulunan Quest KACE sistemlerine yönelikti. Hollanda istihbarat birimleri de Çin bağlantılı grupların uç cihaz saldırılarına dair uyarı yayımlamıştı. Lumen; ABD hükümeti, telekomünikasyon sağlayıcıları, savunma sanayii, kritik altyapı, acil durum iletişimi sağlayıcıları ve yönetilen hizmet şirketlerinin hedeflendiğini aktarıyor.

KeyDrift SD-WAN'dan ne alıyor

Cisco Talos, 28 Ekim 2026 tarihli analizinde UAT-11473 adını verdiği yüksek kabiliyetli gelişmiş kalıcı tehdit grubunun CVE-2026-20127 açığını kullanarak Cisco Catalyst SD-WAN Controller bileşenlerini hedef aldığını açıkladı. Talos, UAT-11473'ün altyapısının Silent Train ağıyla büyük ölçüde örtüştüğünü yüksek güvenle değerlendiriyor. Grubun kullandığı KeyDrift çerçevesi iki ana bileşenden oluşuyor: bellekte çalışan PolyFlame arka kapısı ve SD-WAN'ın OMP protokolü üzerinden dağıtılan AES-256 IPsec veri trafiği anahtar materyalini toplayıp şifreleyerek depolayan LittleFilch modülü. Talos, uzay ve uydu, savunma ve havacılık ile politika araştırma kuruluşlarını hedef alan bu etkinliği geçmişe dönük olarak nitelendiriyor.

Hangi sürüm açığı kapatıyor

Cisco Catalyst SD-WAN Controller, Manager ve Validator bileşenlerinin eşler arası (peering) kimlik doğrulama mekanizmasındaki sorun, kimliği doğrulanmamış uzaktaki bir saldırganın root olmayan ama yüksek yetkili dahili bir hesapla oturum açıp NETCONF üzerinden yapılandırma değişikliği yapmasına imkan tanıyor. Yapılandırmadan bağımsız olan durum hem şirket içi hem de Cisco tarafından barındırılan bulut kurulumlarını etkiliyor. Cisco Ürün Güvenliği Olay Müdahale Ekibi sınırlı istismardan haberdar olduğunu aktarırken açığı Avustralya Sinyal Direktörlüğü'ne bağlı Avustralya Siber Güvenlik Merkezi (ASD's ACSC) bildirdi. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı ise açığı 25 Şubat 2026'da istismar edildiği bilinen açıklar kataloğuna (KEV) eklemişti. Cisco'ya göre açık için geçici çözüm (workaround) bulunmuyor. Şirket hafifletme olarak 22 ve 830 numaralı portlara erişimin erişim listeleriyle yalnızca bilinen IP adreslerine açılmasını ve kayıtlarda bilinmeyen adreslerden gelen peering oturumlarının denetlenmesini öneriyor.

Düzeltmenin yer aldığı sürümler şunlardır:

Lumen ve Cisco Talos; kontrol düzleminin sertleştirilmesini, dış erişimin kısıtlanmasını, güncellemelerin uygulanmasını ve kayıtların incelenmesini tavsiye ediyor.

Türkiye açısından

Türkiye'ye özgü doğrudan bir kurban veya etki bilgisi açıklanmadı. T.C. Siber Güvenlik Başkanlığı'nın bu açık için ayrı bir bildirimi bulunmuyor; kurum daha önce Cisco Catalyst SD-WAN Manager açığı için yayımladığı duyuruda bu güvenlik açığını önceki örnekler arasında anmıştı. Cisco Catalyst SD-WAN kullanan kurum ve servis sağlayıcıların sistem yöneticilerinin, kullanılan yazılım sürümlerini ve yönetim portlarına erişim listelerini kontrol etmesi gerekiyor.

Kaynaklar

Kapak görseli (temsili): Cisco ASR 9006 yönlendirici; haberdeki SD-WAN bileşeni değildir — Redfox hq / Wikimedia Commons, CC BY 3.0 (kırpıldı, 1200×675 küçültüldü).