Cisco Catalyst SD-WAN'da en yüksek önem dereceli sıfırıncı gün açığı: CVE-2026-20182
SD-WAN Controller ve Manager'daki eşleşme kimlik doğrulaması hatası, saldırganın yüksek yetkili iç bir hesapla oturum açıp ağ yapısını değiştirmesine imkân veriyor. CISA federal kurumlara üç gün süre verdi.
Cisco, Catalyst SD-WAN altyapısında sıfırıncı gün olarak istismar edilen yeni bir açık için uyarı yayımladı. CVSS puanı en yüksek değer olan 10.0 ile derecelendirilen CVE-2026-20182, hem şirket içi hem de SD-WAN Cloud kurulumlarındaki Catalyst SD-WAN Controller ve Catalyst SD-WAN Manager bileşenlerini etkiliyor.
Açığın etkisi
Cisco'ya göre sorun, cihazlar arasındaki eşleşme (peering) kimlik doğrulama mekanizmasının düzgün çalışmamasından kaynaklanıyor. Başarılı bir saldırı, saldırganın root olmayan ancak yüksek yetkili bir iç hesapla oturum açmasına ve NETCONF üzerinden SD-WAN yapısının yapılandırmasını değiştirmesine imkân veriyor.
Reklam
Sponsorlu içerik alanıÜrün duyurularınızı ve etkinliklerinizi doğru kitleye ulaştırın.Haber içi · Detaylar ›
Olası hedeflerden biri ağa sahte bir eş (rogue peer) eklemek. Bu sayede saldırgan ağ duyurabiliyor ve kurbanın ağında daha derine ilerleyebiliyor.
İstismar ve arka plan
Cisco, istismarı Mayıs 2026'da tespit ettiğini açıkladı ancak saldırıların ayrıntılarını paylaşmadı. Açık, Rapid7 araştırmacıları tarafından Şubat'ta düzeltilen CVE-2026-20127 üzerinde çalışılırken bulundu. Önceki açık, Cisco Talos'un UAT-8616 olarak izlediği aktör tarafından 2023'ten bu yana sahte eş oluşturmak için kullanılmıştı.
CISA, CVE-2026-20182'yi 14 Mayıs'ta KEV kataloğuna ekledi ve federal kurumlara 17 Mayıs'a kadar süre tanıdı. Cisco, açığı tamamen ortadan kaldıran bir geçici çözüm bulunmadığını, tek kalıcı çözümün düzeltilmiş sürüme yükseltmek olduğunu belirtti.
Ne yapılmalı?
- Catalyst SD-WAN Controller ve Manager'ı Cisco'nun bildirimindeki düzeltilmiş sürüme yükseltin.
- SD-WAN yönetim ve kontrol düzlemi arayüzlerine erişimi güvenilir iç ağlarla ve yetkili IP adresleriyle sınırlandırın.
/var/log/auth.logdosyasında bilinmeyen IP adreslerinden gelen "Accepted publickey for vmanage-admin" kayıtlarını arayın ve kaynak IP'leri arayüzdeki cihaz System IP listesiyle karşılaştırın.- Denetleyici loglarında yetkisiz eşleşme olaylarını inceleyin; bilinmeyen bir IP'nin başarılı oturum açtığını görürseniz cihazı ele geçirilmiş kabul edip Cisco TAC ile vaka açın.
