ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), aktif olarak istismar edildiği tespit edilen yeni bir güvenlik açığını Bilinen İstismar Edilen Güvenlik Açıkları (KEV) Kataloğu'na ekledi. Kataloğa eklenen bu yeni zafiyet, Adobe ColdFusion yazılımında bulunan ve CVE-2026-48282 koduyla tanımlanan bir yol geçiş güvenlik açığıdır. Bu tür güvenlik açıkları, kötü niyetli siber aktörler tarafından sıkça kullanılan saldırı vektörleri arasında yer almakta ve federal kurumlar için ciddi riskler oluşturmaktadır.
CISA'nın yayımladığı Bağlayıcı Operasyonel Direktif (BOD) 26-04, Federal Sivil Yürütme Organı (FCEB) kurumları için risk temelli güvenlik güncellemelerine öncelik verilmesini zorunlu kılmaktadır. Bu direktif, KEV Kataloğu'nun önemini vurgularken, federal kurumların özellikle kamuya açık varlıklarda bulunan ve istismar sonrası varlığın tam kontrolünü ele geçirmeye olanak tanıyan yüksek riskli güvenlik açıklarını hızla gidermesini şart koşmaktadır. Düşük riskli açıklar için ise eylem ertelenebilmektedir. Ayrıca direktif, yama uygulanmadan önce tehdit aktörlerinin sistemi tehlikeye atıp atmadığının kontrol edilmesi gerektiğini de belirtmektedir.
BOD 26-04 yalnızca FCEB kurumlarını bağlayıcı olsa da, CISA tüm kuruluşları risk bazlı güvenlik açığı yönetimini benimsemeye ve KEV Kataloğu'ndaki zafiyetlerin giderilmesine öncelik vermeye çağırmaktadır. Ajans, belirlenen kriterleri karşılayan güvenlik açıklarını kataloğa eklemeye devam edeceğini duyurdu. Bu sayede siber güvenlik topluluğunun güncel tehditlere karşı daha hazırlıklı olması hedefleniyor.
Halihazırda KEV Kataloğu'nda yer almayan ancak istismar edildiği bilinen bir güvenlik açığı mı fark ettiniz? CISA, bu tür açıkların kataloğa eklenmesi için KEV Adaylık Formu üzerinden başvuru yapılabileceğini duyurdu. Potansiyel KEV eklemeleri için bir CVE kimliği, istismar kanıtı ve net bir azaltma rehberliği gerekmektedir. Bu süreç, siber güvenlik ekosisteminin sürekli iyileştirilmesine katkı sağlamaktadır.
