Yama Sonrası 135 Saldırı Girişimi: SonicWall SMA 1000 Açığı Aktif Olarak İstismar Ediliyor

SonicWall Secure Mobile Access (SMA) 1000 serisi cihazlarda keşfedilen kritik bir güvenlik açığı, kamuoyuyla paylaşılmasının üzerinden yalnızca birkaç gün geçmesine rağmen aktif saldırı girişimlerine konu olmaya başladı. CVE-2026-102255 koduyla takip edilen bu açık, CVSS ölçeğinde tam puan olan 10.0 ile derecelendirildi ve kimlik doğrulaması gerektirmeyen bir sunucu tarafı istek sahteciliği (SSRF) zafiyeti olarak tanımlandı.
Açığın teknik niteliği, uzaktaki bir saldırganın etkilenen cihazı kendi adına istek göndermeye yönlendirmesine, iç işlevlere erişmesine ve yetkisiz işlemler gerçekleştirmesine olanak tanıyor. SonicWall, söz konusu güvenlik açığına yönelik yamaları 6 Ekim 2026 tarihinde yayımladı. Güncellenen sürümler 12.4.3-03670 (platform-hotfix) ve 12.5.0-03082 (platform-hotfix) olarak duyuruldu.

İlk Saldırı Girişimleri Yamadan İki Gün Sonra Tespit Edildi​

Tehdit istihbarat firmaları Defused Cyber ve Previdian, aktif istismar girişimlerinin ilk işaretlerini 8 Ekim 2026 tarihinde tespit etti. Previdian'ın paylaştığı verilere göre bu tarihe kadar ABD'de konumlanan iki farklı IP adresinden toplam 135 istismar denemesi gözlemlendi. SonicWall ise açığa ilişkin güvenlik danışma belgesini henüz aktif istismarı yansıtacak biçimde güncellemedi.

SMA 1000 Serisi Daha Önce de Saldırıların Hedefinde Olmuştu​

CVE-2026-102255, SMA 1000 ailesini etkileyen ilk kritik açık değil. Haziran 2026'da aynı ürün ailesinde iki farklı zafiyet, UTA0533 adıyla tanımlanan bir tehdit aktörü tarafından sıfır gün saldırılarında kullanıldı. CVE-2026-15409 (CVSS: 10.0) ve CVE-2026-15410 (CVSS: 7.2) kodlu bu açıklar, Java tabanlı web kabukları ve KNUCKLEBALL adı verilen bir zararlı yazılımın konuşlandırılmasında araç olarak kullanıldı.
Siber güvenlik şirketi Rapid7 de o dönemde tehdit aktörlerinin bu açıkları internete açık cihazları hedef almak ve sistemlere gizli bir ilk erişim vektörü olarak sızmak amacıyla kullandığını gözlemlediğini açıkladı. Rapid7'nin bulgularına göre saldırganlar cihaz üzerinde kalıcı bir tutunma noktası oluşturduktan sonra sistematik biçimde yüksek değerli kimlik bilgilerini, aktif oturum veritabanlarını ve Zamana Dayalı Tek Kullanımlık Parola (TOTP) çok faktörlü kimlik doğrulama (MFA) tohum yapılandırmalarını ele geçirdi.

Ağ İçinde Yanal Hareket ve Kalıcı Erişim​

Rapid7'nin aktardığına göre ele geçirilen bu kaynakları kullanan tehdit aktörleri, yanal harekete hızla geçti. Saldırganlar, güvenliği ihlal edilen cihazdan doğrudan kurumun iç ağına sızdı ve uzun vadeli kalıcı erişim sağlamayı hedefledi. Bu yöntem, SMA 1000 gibi ağ erişim cihazlarının neden öncelikli saldırı hedefleri haline geldiğini açıkça ortaya koyuyor: Bir kez ele geçirildiğinde bu cihazlar, kurumun tüm iç altyapısına açılan bir kapıya dönüşebiliyor.
Mevcut durumda SonicWall'ın CVE-2026-102255 için yayımladığı yamaların uygulanması kritik önem taşıyor. Güvenlik firmaları tarafından gözlemlenen saldırı girişimlerinin sayısı ve hızı, açığın kötü niyetli aktörler tarafından yakından takip edildiğine işaret ediyor.

Sıkça Sorulan Sorular​

CVE-2026-102255 açığı nedir ve hangi cihazları etkiliyor?​

CVE-2026-102255, SonicWall Secure Mobile Access (SMA) 1000 serisi cihazları etkileyen, kimlik doğrulaması gerektirmeyen bir sunucu tarafı istek sahteciliği (SSRF) açığıdır. CVSS ölçeğinde 10.0 tam puan alan bu açık, uzaktaki bir saldırganın cihazı kendi adına istek göndermeye yönlendirmesine ve yetkisiz işlemler gerçekleştirmesine olanak tanıyor.

SonicWall bu açık için ne zaman yama yayımladı?​

SonicWall, CVE-2026-102255 açığına yönelik güvenlik yamalarını 6 Ekim 2026 tarihinde yayımladı. Güncellenen sürümler 12.4.3-03670 (platform-hotfix) ve 12.5.0-03082 (platform-hotfix) olarak duyuruldu.

Saldırı girişimleri ilk kez ne zaman ve kim tarafından tespit edildi?​

Aktif istismar girişimlerinin ilk işaretleri, tehdit istihbarat firmaları Defused Cyber ve Previdian tarafından 8 Ekim 2026 tarihinde tespit edildi. Bu tarih, SonicWall'ın yamayı yayımlamasından yalnızca iki gün sonrasına denk geliyor.

Kaç saldırı girişimi gözlemlendi ve bu girişimler nereden kaynaklandı?​

Previdian'ın verilerine göre toplam 135 istismar girişimi gözlemlendi. Bu girişimlerin tamamı, ABD'de konumlanan iki farklı IP adresinden kaynaklandı.

SMA 1000 serisi daha önce de benzer saldırılara maruz kaldı mı?​

Evet. Haziran 2026'da aynı ürün ailesinde CVE-2026-15409 ve CVE-2026-15410 kodlu iki farklı açık, UTA0533 adıyla tanımlanan bir tehdit aktörü tarafından sıfır gün saldırılarında kullanıldı. Bu saldırılarda Java tabanlı web kabukları ve KNUCKLEBALL adlı zararlı yazılım konuşlandırıldı; saldırganlar ayrıca kurumların iç ağlarına sızmak için ele geçirdikleri kimlik bilgilerini ve MFA yapılandırmalarını araç olarak kullandı.