CISA, OpenSSH ve GPUStack dahil dört kritik açığı keşfedilen istismarlar listesi ekledi

Amerikan Ulusal Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), pazartesi günü dört kritik güvenlik açığını Bilinen İstismar Edilen Zafiyetler (KEV) kataloğuna ekledi. Sözkonusu açıkların OpenBSD OpenSSH, SignalWire FreeSwitch, IBM Aspera Faspex ve GPUStack yazılımlarını etkilediği ve aktif istismar kanıtlarına dayandığı belirtildi. Bu eylem, güvenlik uzmanları tarafından son dönemde küresel ağ altyapısını hedef alan saldırıların hız kazandığı bir döneme denk gelmesi nedeniyle önemli bir uyarı niteliği taşıyor.

CISA'nın Kritik Risk Uyarısı​

Ajansın KEV listesine eklediği açıklar arasında en yüksek kritiklik seviyesini gösteren CVE-2026-123218, CVE-2026-116779 ve CVE-2026-102895, CVSS skoru 9.8 ile ölçülüyor. Bu açıkların ortak noktası, yetkisiz erişimi ve sistem çökmesini veya komut çalıştırma yetkinliğini tetikleyebilme kapasiteleri.

• IBM Aspera Faspex (CVE-2026-123218): Yetkili bir kullanıcının, yetkilendirmeyi atlamak ve yetki yükseltme işlemi başlatmak için özel bir mesaj oluşturmasına izin veren hatalı yetkilendirme zafiyeti. (Kasım 2026'da düzeltildi)
• SignalWire FreeSwitch (CVE-2026-116779): Yapılandırma ve kimlik bilgisi sızıntısı, rastgele arama kontrolü ve komut çalıştırma sonuçlarına yol açabilen kod enjeksiyonu. (Ekim 2026'da düzeltildi)
• GPUStack (CVE-2026-102895): Kimlik doğrulamayı atlayarak, kullanıcı ve model değişiklikleri, kalıcı yönetici API anahtarı oluşturma ve kod çalıştırma gibi yönetici düzeyinde erişimi sağlayan hatalı kimlik doğrulama. (Temmuz 2026'da düzeltildi)

\n

OpenSSH'teki 'SSHole' Açığı ve İstismar Faaliyeti​

Listedeki CVE-2026-123158 olarak adlandırılan 'SSHole' açığı, OpenBSD OpenSSH yazılımının Linux dağıtımlarındaki sürümlerini hedef alıyor. CVSS 8.1 skoru taşıyan bu zafiyet, beklenmedik durum kodu veya dönüş değeri hatası nedeniyle kimlik doğrulaması atlatmayı mümkün kılabiliyor. Güvenlik araştırmacıları, bu açığın istismarı için hazırlanan yazılımların 6 Kasım 2026'dan itibaren siber suçlular tarafından aktif olarak test edildiğini ve rapor edildiğini bildiriyor.
Veri güvenliği firması Previdian'ın analizine göre, bugüne kadar 14 farklı IP adresinden toplam 22 istismar denemesi kayda geçirilmiş durumda. ABD merkezli GreyNoise ispatlı bir ağ koruma servisi, kendi bal arı ağındaki ilk istismar denemesinin 7 Kasım 2026'da saat 00:46 UTC'de gözlemlendiğini duyurdu. Şu ana kadar altı kaynak IP adresinden gelen doğrulanmış post-istismar (sistemdeki kalıcı erişimi veya sınıfsal etkileri genişletme) eylemleri tespit edildi. Bu eylemler arasında bulut meta veri servisi sorguları, şifre hash'lerinin ve kök SSH anahtarlarının okuma denemeleri ile sürekli erişim elde etmek için yetkilendirilmiş anahtarlar dosyasını modifiye etme girişimleri yer alıyor.

Botnet ve Madencilik Ağlarına Götüren Saldırılar​

Güvenlik istihbaratı şirketi Defused Cyber, sosyal medya platformu X'te 7 Kasım 2026'da paylaştığı raporda, "SSHole hedef alan çok az sayıda aktörün hareketini gözlemledik" ifadesini kullandı, ancak istismar eyleminin henüz yaygınlaşmadığını da belirtmedi. Öte yandan, siber istihbarat şirketi watchTowr, OpenSSH açıklarının silahlandırılmasının siber saldırganlar tarafından aktif olarak botnet ve kripto para madenciliği ağlarına yönlendirmek amacıyla kullanıldığını rapor etti.
Bu operasyonel saldırıların parçası olarak, tanısız bir tehdit aktörü olan 'GT10', TAC Agent olarak bilinen bir Python tabanlı komut-ve-denetim (C2) ajanı dağıttığı tespit edildi. TAC Agent; kabuk komutu yürütme, sistem keşif, dizin sıralama, dosya transferi ve kendini güncelleme yetkinliklerini barındıran gelişmiş bir saldırı aracına işaret ediyor. Ayrıca, GPUStack açıkları ile ilgili olarak 31 Temmuz 2026'da yayınlanan bir bilgilendirmede, GPUStack Python paketinin geliştiricileri, açığın bağımsız olarak rapor edilmesinde Nikko Enggaliano, Wei Yunzhou, Rui Yang ve Haoyu Wang'a teşekkür ederek, aktif istismarın Ulex Innovative Systems'ten Javier Sixto tarafından raporlandığını doğruladı.

Federal Ajanslara 12 Kasım'a Kadar Yamaya Geçme Talebi​

CISA'nın açıklaması, hükümetin siber dayanıklılık kapasitesini iyileştirme çabalarının bir parçası olarak değerlendiriliyor. Sözkonusu dört zafiyet için resmi bir yama yayınlamış olan yazılım geliştiricileri, ABD Ulusal Güvenlik Birimi ve ilgili siber altyapı müsteşarlıkları tarafından takip ediliyor. Federal Sivil Yürütme Kolu (FCEB) ajansları, bu yamaları 12 Kasım 2026 tarihine kadar tamamlayarak, devlet altyapısındaki en kritik güvenlik açığını gidermeleri talimatı verildi. Söz konusu tarihe kadar gerekli güncellemelerin tamamlanmaması, federal servislerin siber saldırılara ve yetkilendirme hatalarına karşı savunmasız kalmasına yol açıyor.

Sıkça Sorulan Sorular​

CISA bu dört açıyı hangi tarihte keşfedilen istismarlar listesi ekledi?​

Amerikan Ulusal Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), dördü istismar edilebilen güvenlik açıklarını pazartesi günü (yayın tarihi itibariyle) KEV kataloğuna eklediği belirtildi.

OpenSSH açıkları için belirlenen son yama uygulama tarihi nedir?​

Federal Sivil Yürütme Kolu (FCEB) ajanslarına, OpenSSH ve diğer üç zafiyetin yamalarının 12 Kasım 2026 tarihine kadar tamamlanması talimatı verildi.

GPUStack açıklarının istismar edilme detayları nelerdir?​

GPUStack açıkları (CVE-2026-102895), yetkilendirmeyi atlayarak, kullanıcı ve model değişiklikleri, kalıcı yönetici API anahtarı oluşturma ve kod çalıştırma yetkinliklerini barındıran yönetici erişimini tetiklediği açıklandı.

Defused Cyber ve GreyNoise, OpenSSH istismarları hakkında ne rapor etti?​

Defused Cyber, siber suçluların OpenSSH açıklarını hedef alan çok az sayıdaki eylemciye dikkati çektığını vurguladı. GreyNoise ise 7 Kasım 2026 saat 00:46 UTC'de keşif ağında ilk istismar denemesini gözlemlediğini duyurdu.

TAC Agent, tehdit aktörleri tarafından nasıl kullanılıyor?​

Threat actor olarak tanısız 'GT10' grubu, TAC Agent'ı dağıtıyor; bu ajan Python tabanlı bir komut-ve-denetim (C2) aracı olup kabuk komutu yürütme, sistem keşfi ve dosya transferi yetkinliklerini taşıdığını açıklandı.