Cisco, Güvenlik Duvarlarını Çökertebilen Aktif Olarak İstismar Edilen ASA ve FTD VPN Açığını Kapattı

Cisco, Secure Firewall Adaptive Security Appliance (ASA) Yazılımı ve Secure Firewall Threat Defense (FTD) Yazılımı'nı etkileyen yüksek önem dereceli bir güvenlik açığına yönelik yamalar yayımladı. Şirket, söz konusu açığın gerçek ortamlarda aktif biçimde istismar edildiğini duyurdu. CVE-2026-76418 olarak takip edilen güvenlik açığı, CVSS puanlama sisteminde 8,6 ile derecelendirildi. Başarılı bir saldırı senaryosunda, kimliği doğrulanmamış uzak bir saldırgan, etkilenen cihazı beklenmedik biçimde yeniden başlatarak hizmet dışı bırakma (DoS) durumuna yol açabiliyor.

Açığın Teknik Kökeni ve Saldırı Yöntemi​

Cisco'nun yayımladığı danışma belgesine göre güvenlik açığı, ASA ve FTD yazılımlarının Uzaktan Erişim SSL VPN hizmetinde bulunuyor. Şirket, sorunun bir tünel grubunda ikincil kimlik doğrulama yapılandırıldığında ortaya çıkan mantık hatalarından kaynaklandığını belirtti. Saldırganlar bu açığı, SSL uzaktan erişim VPN'e bağlanırken özel hazırlanmış bir istek göndererek istismar edebiliyor; başarılı bir saldırı cihazın yeniden başlatılmasıyla sonuçlanıyor. Cisco, başarılı bir VPN girişinin bu işlem yoluna ulaşmak için gerekli olmadığını da ayrıca vurguladı.
Güvenlik açığının cihazı etkileyebilmesi için birkaç koşulun bir arada bulunması gerekiyor: Cihazın güvenlik açığı içeren bir ASA veya FTD yazılım sürümü çalıştırması, SSL uzaktan erişim VPN giriş hizmetine erişilebilir olması ve tünel grubu kapsamında ikincil kimlik doğrulamanın yapılandırılmış olması şart. Cisco ayrıca tunnel-group-list enable komutunun yapılandırılmış olup olmadığına bağlı olarak varsayılan tünel grubu olan DefaultWEBVPNGroup dahil tüm tünel gruplarının ikincil kimlik doğrulama sunucu grubu açısından kontrol edilmesini tavsiye etti.

Etkilenen Sürümler ve Yayımlanan Yamalar​

Cisco, açığı gideren düzeltmelerin hangi yazılım sürümlerinde sunulduğunu ayrıntılı biçimde paylaştı. Cisco Secure Firewall ASA Yazılımı için sürüm bazında düzeltmeler şu şekilde sıralandı:

• 9.16 ve öncesi: 9.16.4.104 sürümünde düzeltildi
• 9.18: 9.18.4.96 sürümünde düzeltildi
• 9.20: 9.20.4.50 sürümünde düzeltildi
• 9.22: 9.22.3.200 sürümünde düzeltildi
• 9.23: 9.23.1.48 sürümünde düzeltildi
• 9.24: 9.24.1.27 ve 9.24.10.1 sürümlerinde düzeltildi

\nCisco Secure FTD Yazılımı için yayımlanan yamalar ise şu şekilde listelendi:

• 7.0 ve öncesi: 7.0.11 sürümünde düzeltildi
• 7.2: 7.2.13 sürümünde düzeltildi
• 7.4: 7.4.9 sürümünde düzeltildi
• 7.6: 7.6.7 sürümünde düzeltildi
• 7.7: 7.7.14 sürümünde düzeltildi
• 10.0: 10.0.3 sürümünde düzeltildi
• 10.1: 10.1.1 sürümünde düzeltildi

\n

Geçici Önlem Tavsiyeleri​

Yamayı henüz uygulayamayan müşteriler için Cisco, geçici hafifletme adımları da önerdi. DefaultWEBVPNGroup ikincil kimlik doğrulama kullanmıyorsa tünel grubu listesinin devre dışı bırakılması tavsiye ediliyor. Bunun yanı sıra kullanıcı tarafından yapılandırılmış herhangi bir tünel grubu listesinde veya varsayılan tünel grubunda ikincil kimlik doğrulamanın kapatılması da önerilen geçici çözümler arasında yer alıyor. Cisco Secure FTD Yazılımı kullananlar için ise Cisco Secure FMC Yazılımı veya Cisco Secure FDM üzerinden dağıtılmış uzaktan erişim VPN politikasının ve cihaz çalışma yapılandırmasının gözden geçirilmesi istendi. Grup listesinin devre dışı bırakılmasının, varsayılan grubun ikincil kimlik doğrulama kullanması durumunda maruziyeti ortadan kaldırmadığı özellikle belirtildi.

Aktif İstismar ve Saldırıların Kapsamı​

Cisco, bu güvenlik açığının aktif olarak istismar edildiğinden Ekim 2026'da haberdar olduğunu açıkladı. Ancak şirket, saldırıların ne zaman başladığı, arkasında kimin olduğu ve saldırıların boyutu hakkında herhangi bir ayrıntı paylaşmadı.
Bu açıklamanın gündeme gelmesiyle eş zamanlı olarak Cisco, UAT-11473 olarak takip edilen gelişmiş bir kalıcı tehdit (APT) aktörünün Cisco SD-WAN Catalyst Controller örneklerindeki kimlik doğrulama atlama açığı CVE-2026-20127'yi silahlandırdığını da duyurdu. Uzay ve uydu hizmetleri, savunma ve havacılık teknolojisi ile politika araştırmaları sektörlerini hedef alan bu faaliyetin, Volt Typhoon'un Silent Train gizli ağıyla altyapı örtüşmeleri paylaştığı değerlendiriliyor. Cisco Talos'a göre UAT-11473, hassas anahtarlama bilgilerini toplamak, arka kapı oluşturmak ve ara komuta-kontrol ana bilgisayarları olarak işlev görmek üzere tasarlanmış PolyFlame ve LittleFilch gibi bileşenlerden oluşan KeyDrift adlı özel bir kötü amaçlı yazılım çerçevesi kurdu. Bu çerçevenin SD-WAN kontrol düzlemi süreçlerinin içinde çalışarak şifresi çözülmüş kontrol trafiğini yakalayabildiği, kontrol oturumu meta verilerini ve veri düzlemi anahtarlama materyalini çıkarabildiği ve toplanan materyali şifreli kayıtlar kullanarak saklayabildiği ya da iletebileceği belirtildi.

Sıkça Sorulan Sorular​

CVE-2026-76418 güvenlik açığı hangi Cisco ürünlerini etkiliyor?​

Güvenlik açığı, Cisco Secure Firewall Adaptive Security Appliance (ASA) Yazılımı ve Cisco Secure Firewall Threat Defense (FTD) Yazılımı'nı etkiliyor. Cihazın bu açıktan etkilenebilmesi için güvenlik açığı içeren bir yazılım sürümü çalıştırması, SSL uzaktan erişim VPN giriş hizmetine erişilebilir olması ve tünel grubu kapsamında ikincil kimlik doğrulamanın yapılandırılmış bulunması gerekiyor.

Bu açık nasıl istismar ediliyor ve saldırının sonucu ne oluyor?​

Saldırganlar, SSL uzaktan erişim VPN'e bağlanırken özel hazırlanmış bir istek göndererek açığı istismar edebiliyor. Başarılı bir saldırı, etkilenen cihazın beklenmedik biçimde yeniden başlatılmasına ve böylece hizmet dışı bırakma (DoS) durumunun oluşmasına yol açıyor. Cisco, başarılı bir VPN girişinin bu işlem yoluna ulaşmak için gerekli olmadığını da belirtti.

Cisco yamayı henüz uygulayamayanlar için ne öneriyor?​

Cisco, geçici çözüm olarak DefaultWEBVPNGroup ikincil kimlik doğrulama kullanmıyorsa tünel grubu listesinin devre dışı bırakılmasını ya da kullanıcı tarafından yapılandırılmış tünel grubu listelerinde veya varsayılan tünel grubunda ikincil kimlik doğrulamanın kapatılmasını öneriyor. Ancak grup listesinin devre dışı bırakılmasının, varsayılan grubun ikincil kimlik doğrulama kullanması durumunda maruziyeti ortadan kaldırmadığı vurgulandı.

Cisco bu açığın aktif olarak istismar edildiğini ne zaman öğrendi?​

Cisco, güvenlik açığının aktif olarak istismar edildiğinden Ekim 2026'da haberdar olduğunu açıkladı. Şirket, saldırıların ne zaman başladığı, arkasında kimin olduğu veya saldırıların boyutu hakkında herhangi bir ek ayrıntı paylaşmadı.

UAT-11473 olarak takip edilen tehdit aktörü hangi sektörleri hedef aldı?​

Cisco'nun açıklamasına göre UAT-11473 olarak takip edilen APT aktörünün faaliyetleri uzay ve uydu hizmetleri, savunma ve havacılık teknolojisi ile politika araştırmaları sektörlerini hedef aldı. Bu faaliyetin Volt Typhoon'un Silent Train gizli ağıyla altyapı örtüşmeleri paylaştığı değerlendiriliyor.