Masada duran üç donanım güvenlik anahtarı: çok faktörlü doğrulamada (MFA) kullanılan USB ve kablosuz anahtarlar (temsili fotoğraf; SonicWall cihazı veya olay görüntüsü değildir)

SonicWall güvenlik duvarı işletim sistemi SonicOS üzerinde SSLVPN girişlerinde SAML ve MFA denetimlerinin atlatılmasına yol açan yeni bir güvenlik açığı kapatıldı. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), CVE-2026-19868 kodlu güvenlik açığını 6 Kasım 2026 tarihinde Bilinen İstismar Edilmiş Açıklar (KEV) kataloğuna ekleyerek federal kurumlara 20 Kasım 2026 tarihine kadar süre verdi. Bu açık, SSLVPN oturumlarında kimlik doğrulama için SAML yapısını etkinleştiren kurumları doğrudan ilgilendiriyor.

SonicWall, 6 Kasım 2026 tarihli SNWLID-2026-0014 numaralı güvenlik bülteninde açığın istismar edilmiş olabileceğine dair bir bildirimi incelediğini açıkladı. Ağ yöneticilerinden cihazlarını gecikmeden güncellemeleri istenirken, açığın yalnızca SSLVPN üzerinde SAML yapılandırması açık olan sistemleri etkilediği bildirildi.

Açık nasıl çalışıyor

CVE-2026-19868, SonicOS SSLVPN hizmetinde kimlik doğrulamanın doğru zorlanmamasından kaynaklanıyor. Sistemde alternatif bir kimlik doğrulama yöntemi için geçerli kullanıcı bilgisine sahip olan biri, SAML kimlik doğrulama adımlarını geçebiliyor. Başarılı bir istismar sonucunda, SAML üzerinden zorunlu tutulan çok faktörlü doğrulama (MFA) mekanizması devre dışı kalıyor.

SonicWall bu zafiyet için CVSS 7.1 önem puanı belirledi. Açık, kullanıcı bilgisi olmadan içeri girmeye izin vermiyor; saldırganın alternatif bir yöntem için geçerli bir kullanıcı bilgisine sahip olması gerekiyor. Ancak bu bilgi ele geçirildiğinde, kurumun ek güvenlik katmanı olarak konumlandırdığı SAML ve MFA adımları etkisiz kalıyor.

Hangi cihazlar etkileniyor

SonicWall tarafından paylaşılan bilgilere göre güvenlik açığı Gen7 ve Gen8 serisi donanım ile sanal güvenlik duvarı modellerini kapsıyor. Düzeltme için yayımlanan sürümler tabloda yer alıyor:

PlatformEtkilenen sürümDüzeltilmiş sürüm
Gen7: TZ/NSa/NSsp/NSvSonicOS 7.3.3-7015 ve öncesiSonicOS 7.3.4-7013 ve üstü
Gen8: TZ/NSa/NSvSonicOS 8.2.2-8015 ve öncesiSonicOS 8.2.3-8015 ve üstü

Etkilenen donanımlar arasında Gen7 ailesinden TZ 270, TZ 370, TZ 470, TZ 570, TZ 670, NSa 2700, NSa 3700, NSa 4700, NSa 5700, NSa 6700, NSsp 10700, NSsp 11700, NSsp 13700, NSsp 15700 ile sanal NSv modelleri; Gen8 tarafında ise TZ 80, TZ 280, TZ 380, TZ 480, TZ 580, TZ 680, NSa 2800, NSa 3800, NSa 4800, NSa 5800 ve sanal NSv sürümleri bulunuyor.

Üretici firma herhangi bir geçici çözüm bulunmadığını duyurdu. SNWLID-2026-0014 bülteninde ayrıca yönetim arayüzü, SSL-VPN, TACACS+ istemcisi ve sanal cihazları ilgilendiren altı açık daha giderildi; bu diğer açıklar için herhangi bir istismar bilgisi paylaşılmadı.

Türkiye açısından

Türkiye açısından bakıldığında SonicWall'un TZ, NSa, NSsp ve NSv güvenlik duvarları SonicOS üzerinden SSLVPN ile uzaktan erişim sunuyor. SSLVPN oturumlarında SAML ile MFA zorunluluğu getiren yöneticilerin, cihazlar güncellenene kadar MFA katmanını tek başına güvence kabul etmemesi gerekiyor.

Olası bir yetkisiz erişimin kişisel verilere ulaşması durumunda, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) gereğince veri sorumlusunun durumu 72 saat içinde Kişisel Verileri Koruma Kurulu'na bildirme yükümlülüğü doğabilir. İstismarı kimin, ne zamandan beri ve kaç kuruluşa karşı yaptığı açıklanmadı; SonicWall teknik ayrıntı ya da saldırı izi (IoC) de yayımlamadı; Türkiye'de etkilenen bir kurum olduğuna dair kamuya açık bir veri bulunmuyor.

Ne yapmalı

Kaynaklar

Kapak görseli (temsili): çok faktörlü doğrulamada kullanılan donanım güvenlik anahtarları — Tony Webster, Wikimedia Commons, CC BY 2.0 (kırpıldı, küçültüldü). SonicWall ürünü veya olay görüntüsü değildir.