CISA, OpenSSH dahil dört aktif istismar açığını KEV’e ekledi

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), Pazartesi günü OpenBSD OpenSSH, SignalWire FreeSwitch, GPUStack ve IBM Aspera Faspex ürünlerinde bulunan dört güvenlik açığını, aktif istismar olduğuna dair kanıtları gerekçe göstererek Known Exploited Vulnerabilities (KEV) kataloğuna dahil etti. Kurum, bu açıkların yalnızca listelenmekle kalmayıp saldırılarla bağlantılı olduğunu belirtirken, özellikle OpenSSH üzerindeki zafiyete ilişkin sahadan gelen istismar verileri haberin merkezinde yer alıyor.

CISA’nın KEV’e eklediği dört açık​

CISA tarafından listelenen açıklar şunlar:

• CVE-2026-123218: IBM Aspera Faspex’te yetkilendirmenin yanlış uygulanmasına ilişkin açığı açıklıyor. CVSS puanı 9,8. Yetkili bir kullanıcının belirli bir mesaj oluşturarak yetkilendirmeyi aşması ve yetki yükseltme yapabilmesi mümkün. Kaynak, düzeltmenin Kasım 2026’da yapıldığını belirtiyor.
• CVE-2026-116779: SignalWire FreeSwitch’ta kod enjeksiyonu açığını tanımlıyor. CVSS puanı yine 9,8. Kayda göre bu zafiyet yapılandırma ve kimlik bilgisi ifşası, özgür çağrı kontrolü ve komut çalıştırma sonuçlarına yol açabiliyor. Düzeltme Ekim 2026’da gerçekleştirildi.
• CVE-2026-123158 (diğer adıyla SSHole): OpenBSD OpenSSH’nin Linux üzerindeki sürümünde beklenmeyen durum kodu veya geri dönüş değeri sorununa işaret ediyor. CVSS puanı 8,1. Bu açıklama, kimlik doğrulmayı atlamaya izin verebilir. Kaynak, düzeltmenin Kasım 2026’da yayınlandığını bildiriyor.
• CVE-2026-102895: GPUStack üzerindeki uygunsuz kimlik doğrulama açığını ifade ediyor. CVSS puanı 9,8. Zafiyet, yetkisiz yönetici erişimine; kullanıcı ve model değişikliklerine, kalıcı yönetici API anahtarı oluşturmaya, çalışan ve bulut sağlayıcı sırlarının ifşasına ve POST /v2/inference-backends/from-yaml üzerinden kod çalıştırmasına imkân verebiliyor. Düzeltme Temmuz 2026’da yapıldı.

\nCISA, diğer üç açığın istismarının nasıl, kimler tarafından ve ne ölçekte gerçekleştiğine ilişkin kamuoyunda yerleşik bir rapor bulunmadığını belirtiyor. Ancak OpenSSH açıklaması için sahadan gelen istismar gözlemleri ayrıntılı biçimde aktarılıyor.

OpenSSH açığına karşı istismar gözlemleri​

CVE-2026-123158’in KEV’e eklenmesi, 6 Kasım 2026’dan itibaren bu açıklık hedef alan istismar girişimlerine ilişkin raporların artmasının ardından gerçekleşti. Kaynak, bugüne dek 14 benzersiz IP adresinden 22 istismar girişiminin kaydedildiğini, bu bilginin Previdian’a ait istismar verilerinden aktarıldığını bildiriyor.
Defused Cyber, 7 Kasım 2026’da X platformu üzerinde paylaştığı açıklamada, “SSHole’u hedef alan az sayıda aktör gözlemledik” ifadesini kullandı; ancak istismar faaliyetinin henüz yaygın düzeyde olmadığını vurguladı. GreyNoise’un bal ağı (honeypot) çevresine ilişkin değerlendirmesine göre, ilk istismar girişimi 7 Kasım 2026 saat 12:46 UTC’de kaydedildi. Şu ana dek altı kaynak IP adresinden, toplam 18 ayrı saldırı zinciri doğrulandı.
Gözlemlenen saldırı zincirleri arasında keşif (reconnaissance), bulut metadata servislerine sorgu, şifre hash’leri ve root SSH anahtarlarının okunmaya çalışılması ile kalıcı erişim için SSH authorized_keys dosyasının değiştirilmesi çalışmaları yer alıyor. Kaynak, en az bir vakada bilinmeyen tehdit aktörlerinin, Python tabanlı komut ve kontrol (C2) ajanı olan TAC Agent’ı dağıttığını bildiriyor. TAC Agent; kabuk komutu çalıştırma, sistem keşfi, dizin tarımı, dosya aktarımı ve kendini güncelleme kapasitesine sahip.
Tehdit istihbaratı kuruluşu watchTowr da OpenSSH açıklarının, botnet ve kripto para madenciliği faaliyetleri için sahalarda silahlaştırıldığını gözlemlediğini aktarıyor.

GPUStack açığına ilişkin rapor ve öne çıkan isimler​

GPUStack Python paketi bakımından CVE-2026-102895 için 31 Temmuz 2026’da yayımlanan bilgilendirmede, açıkla ilgili bağımsız bildirim yapan dört isim öne çıkarılıyor: Nikko Enggaliano, Wei Yunzhou, Rui Yang ve Haoyu Wang. Bilgilendirmede ayrıca “aktif saha istismarı”nın Ulex Innovative Systems’teki Javier Sixto tarafından raporlandığı belirtiliyor.
CISA, Federal Sivil Yürütme Kolu (FCEB) kurumlarına, söz konusu düzeltmelerin en geç 12 Kasım 2026 tarihine kadar uygulanması çağrısında bulundu.

Sıkça Sorulan Sorular​

CISA hangi dört açığı KEV kataloğuna ekledi?​

CISA; CVE-2026-123218 (IBM Aspera Faspex), CVE-2026-116779 (SignalWire FreeSwitch), CVE-2026-123158/SSHole (OpenBSD OpenSSH) ve CVE-2026-102895 (GPUStack) olmak üzere dört açığı, aktif istismar kanıtları gerekçesiyle Known Exploited Vulnerabilities kataloğuna ekledi.

OpenSSH açığına ilişkin istismar verileri neleri gösteriyor?​

Veriler, 6 Kasım 2026’dan itibaren istismar girişimlerinin raporlandığını, 14 benzersiz IP adresinden 22 girişimin kaydedildiğini ve GreyNoise bal ağındaki ilk gözlemin 7 Kasım 2026 saat 12:46 UTC’de yapıldığını gösteriyor. Ayrıca altı kaynak IP’den 18 saldırı zinciri doğrulandı.

Doğrulanan saldırı zincirlerinde hangi faaliyetler tespit edildi?​

Saldırı zincirlerinde keşif, bulut metadata sorguları, şifre hash’leri ve root SSH anahtarlarına erişim denemeleri, kalıcı erişim için SSH authorized_keys dosyasının değiştirilmesi çalışmaları ile Python tabanlı TAC Agent C2 ajanının dağıtımı gözlemlendi.

OpenSSH açıklarının sahalarda ne amaçla kullanıldığı kaydedildi?​

Tehdit istihbaratı kuruluşu watchTowr, OpenSSH açıklarının sahalarda botnet ve kripto para madenciliği faaliyetleri için silahlaştırıldığını raporladı.

GPUStack açığına ilişkin bilgilendirmede hangi isimler öne çıkıyor?​

GPUStack paketine ilişkin 31 Temmuz 2026 tarihli bilgilendirmede, bağımsız bildirim yapan Nikko Enggaliano, Wei Yunzhou, Rui Yang ve Haoyu Wang’ın isimleri geçiyor; “aktif saha istismarı” ifadesi ise Ulex Innovative Systems’teki Javier Sixto’ya atfediliyor.