CISA, Cisco BroadWorks ve Openwave açıklarının aktif olarak istismar edildiğini belirtti

ABD Siber Güvenlik Altyapı Güvenlik Ajansı, Cisco BroadWorks ile Openwave Messaging Webtop Media Transcoder ürünlerinde yer alan iki güvenlik açığının, bilinen istismarlı zafiyetler kataloğuna (KEV) aktif olarak istismar edildiğine dair kanıtlar sunulması nedeniyle eklendiğini duyurdu. Bu eklerle birlikte, federal devlet sivil yürütme kurumu ajanları (FCEB) için belirlenen yama uygulama son tarihi 24 Kasım 2026 olarak belirlendi.

BroadWorks'te kimlik doğrulamasız XML dış varlık açıklığı​

Kaynak içerikte ayrıntıları paylaşılan zafiyetlerden biri, CVE-2026-20320 kimliğine sahip olan ve CVSS puanı 7.5 olarak raporlanan bir güvenilmeyen XML dış varlık (XXE) referans sınırlaması açığıdır. Bu açıklık, Cisco BroadWorks ürününde yer alan Open Client Interface (OCI) XML ayıklayıcısında bulunmakta ve kimlik doğrulaması yapılmadan uzaktan erişim ile sistemdeki hassas yapılandırma bilgilerini okuma imkânı sunmaktadır. Yaptırımın Cisco BroadWorks kullanıcısının ayrıcalıklarıyla sınırlı tutulabileceği ve ağın genişletilebileceği uyarısı yapılmıştır. Bu zafiyet Ağustos 2026'da yayımlanan güncelleme ile giderilmiştir.
Malbear Labs kaynaklarında aktarılan istismar detaylarına göre, sözkonusu güvenlik zafiyeti Operation Snowball adıyla nitelendirilen ve bir Türk dilli tehdit aktörün otonom bir çerçeveyi kullanarak hedefini genişlettiği saldırı kampanyasında kullanılmıştır. Kampanya, Avrupa'daki bir telekomünikasyon sağlayıcısı ve altyapısında barındırılan 13 şirket'i hedef almıştır. Faaliyetlerin iki haftalık bir süreçte yüzlerce varlığın listelenmesini, onlarca kimlik setinin çıkarılmasını ve binlerce satır müşteri fatura ile cihaz kaydının dışarı akıtılmasını içerdiği rapor edilmiştir.
Saldırının odaklandığı altyapı, Cisco BroadWorks XSP sürüm 23.0.1.1075'in 2208 portunda çalıştığı konfigürasyonu olarak tespit edilmiştir. Malbear Labs, ajanın bu alanda CVE-2026-20320 zafiyetini sömürdüğünü ve sistemin kendi bileşenleri arası kimlik doğrulamasında kullanılan özel sistem kimlik anahtarını üç SSL kimlik seti ile ek üç özel anahtar ile birlikte kurtardığını belirtmiştir. Bu anahtarların varlığı, sistemin kendi bileşenleri arası iletişimde sahte XSP taklidi oluşturarak hareket etme imkânı sağlamaktadır.

Openwave'da kimlik doğrulamalı kullanıcılara yönelik dosya dönüşüm zafiyeti​

Kataloğa eklenen ikinci zafiyet olan CVE-2026-111793, CVSS 4.3 puanı ile Openwave Messaging Webtop Media Transcoder ürünündeki hatalı kaynak aktarımı olarak tanımlanmıştır. Bu açığın, Webmail deneyimini doğrudan atlayarak işlemi gerçekleştiren kimlik doğrulaması yapılmış bir kullanıcının, nedeni belirsiz veya yasa dışı belge türlerini dönüştürme yolunu açabileceği uyarısı yapılmıştır. Bu zafiyet Ekim 2026'da yayımlanan yamalarla giderilmiştir.
CVE-2026-111793'ün KİV kataloğuna eklenmesi, JPN'nin uyarısı takip ederek yapılmıştır. JPN'nin uyarısında, geliştiricinin, zafiyeti sömüren saldırıların gözlemlendiğini ifade ettiğini ve kimlik doğrulaması yapılmış bir saldırganın, özel hazırlanmış bir dosyayı yükleyerek hassas bilgilere erişimini sağlayabileceği konusunda uyarı yaptığı vurgulanmıştır.

Cisco, Catalyst SD-WAN ve ASA ürünlerindeki aktif istismarı duyurdu​

ABD'de bu eklemelerle eş zamanlı olarak Cisco, Kasım ayının sonlarında yayımladığı bir duyuruda kendi altyapılarındaki iki farklı güvenlik zafiyetinin de aktif olarak istismar edildiğini açıkladı. Bu zafiyetler şunlardır:

• Catalyst SD-WAN alt ürünündeki CVE-2026-20127 zafiyeti, CVSS 10.0 puanıyla en yüksek risk sınıfına sahip.
• Secure Firewall ASA ve Threat Defense (FTD) yazılımlarındaki CVE-2026-76418 zafiyeti, CVSS 8.6 puanıyla yüksek risk sınıfına giriyor.

\nİki zafiyet de aktif istismar kanıtları üzerine KİV kataloğuna alınmıştır. Federal kurumlar, ağlarının güvenliğini korumak için bu yamaları 24 Kasım 2026 tarihine kadar uygulamakla yükümlüdür.

İlgili altyapı bileşenlerinin geniş güvenlik riski​

Malbear Labs, tehdit aktörlerinin saldırı yüzeyini genişletebilmek amacıyla geniş bir CVE portföyünü hedef alabileceğini belirtmiştir. Japonya Kaspersky uyarılarında da AI ajanlarının farklı ürünlerde bilinen güvenlik zafiyetlerini sömürebileceği konusunda uyarı yapılmıştır. Bunlar arasında JBoss RichFaces (CVE-2013-2165), Liferay CE/DXP (CVE-2020-7961), ForgeRock OpenAM (CVE-2021-35464), Linux (CVE-2021-4034), SAP NetWeaver (CVE-2022-22536), Cisco Expressway (CVE-2023-20269), Citrix NetScaler (CVE-2023-4966), Qlik Sense (CVE-2023-41265, CVE-2023-41266), PAN-OS GlobalProtect (CVE-2024-3400, CVE-2024-9474), Adobe Experience Manager (CVE-2025-54249), Broadcom VMware Cloud Director (CVE-2026-2003, CVE-2026-2004, CVE-2026-2005, CVE-2026-2006), Claris FileMaker Server (CVE-2026-86934) ve F5 BIG-IP (CVE-2026-41225) ürünleri ve zafiyetleri yer almaktadır.
Sözkonusu geniş zafiyet yelpazesi, altyapı güvenliğinde yalnızca Cisco ürünlerine odaklanmanın yetersiz kalabileceği, birden fazla satıcıya yayılmış güvenlik açıklarının aktif istismar riski taşıdığına işaret etmektedir.

Sıkça Sorulan Sorular​

CISA hangi zafiyetleri KİV kataloğuna ekledi?​

CISA, kaynak içeriğe göre Cisco BroadWorks ve Openwave Messaging Webtop Media Transcoder ürünlerinde bulunan CVE-2026-20320 ve CVE-2026-111793 zafiyetlerini aktif istismar kanıtları üzerine KİV kataloğuna eklemiştir.

Bu eklerle birlikte federal kurumlara düşen yükümlülük nedir?​

Kaynak içeriğe göre, federal devlet sivil yürütme kurumu ajanları bu zafiyetleri gidermek için yama uygulamalarını 24 Kasım 2026 tarihine kadar tamamlamakla yükümlüdür.

Cisco BroadWorks'teki zafiyet, kimlik doğrulaması yapılmış kullanıcıları nasıl etkiliyor?​

CVE-2026-20320 kimlik doğrulamasız bir XML dış varlık zafiyeti olarak tanımlanmıştır ve uzaktan erişimle sistemdeki yapılandırma bilgilerini Cisco BroadWorks kullanıcısının ayrıcalıklarıyla okumak için istismar edilebileceği uyarısı yapılmıştır.

Openwave zafiyeti, Webmail deneyimi üzerinden nasıl sömürülüyor?​

CVE-2026-111793 zafiyeti, Webmail deneyimini doğrudan atlayan bir kimlik doğrulaması yapılmış kullanıcının, nedeni belirsiz belge türlerini dönüştürerek hassas bilgilere erişebileceği uyarısı yapılmaktadır.

Malbear Labs, zafiyetin istismarına dair hangi sonuçları rapor etti?​

Malbear Labs, Operation Snowball saldırısı sırasında bu zafiyetin sömürülmesiyle yüzlerce varlığın listelendiğini, onlarca kimlik setinin çıkarıldığını ve binlerce satır fatura ile cihaz kaydının dışarı akıtıldığını rapor etmiştir.