Amerika Birleşik Devletleri Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), aktif olarak istismar edildiği tespit edilen yeni bir güvenlik açığını Bilinen İstismar Edilen Güvenlik Açıkları (KEV) Kataloğu'na ekledi. CVE-2026-48282 koduyla tanımlanan bu açık, Adobe ColdFusion yazılımında bir path traversal (yol atlama) zafiyeti olarak kayıtlara geçti. CISA, bu tür zafiyetlerin kötü niyetli siber aktörler tarafından sıkça kullanıldığını ve federal kurumlar için ciddi riskler oluşturduğunu vurguluyor.
CVE-2026-48282 güvenlik açığı, Adobe ColdFusion sunucularında yetkisiz erişime ve dosya sisteminde gezinmeye olanak tanıyor. Saldırganlar, bu zafiyeti kullanarak hassas dosyalara erişebilir, sunucu üzerinde tam kontrol elde edebilir ve ardından daha büyük çaplı saldırılar düzenleyebilir. Bu tür path traversal açıkları, özellikle web uygulamalarında sıkça karşılaşılan ve geniş çaplı hasara yol açabilen kritik güvenlik sorunları arasında yer alıyor.
CISA'nın bu eklemesi, BOD 26-04 numaralı Bağlayıcı Operasyonel Direktif kapsamında gerçekleşti. Bu direktif, Federal Sivil Yürütme Organı (FCEB) kurumları için güvenlik güncellemelerinin risk bazlı olarak önceliklendirilmesini zorunlu kılıyor. BOD 26-04'e göre, KEV Kataloğu'nda yer alan ve kamuya açık varlıklarda tam kontrol sağlayan yüksek riskli güvenlik açıklarının en kısa sürede giderilmesi gerekiyor. Düşük riskli açıklar için ise güncelleme ertelenebiliyor. Ayrıca direktif, yama uygulanmadan önce sistemlerin tehlikeye girip girmediğinin kontrol edilmesi için temel beklentileri de belirliyor.
Detaylar ve Etkileri
Her ne kadar BOD 26-04 yalnızca federal kurumları bağlasa da, CISA tüm kuruluşları risk bazlı güvenlik açığı yönetimini benimsemeye ve KEV Kataloğu'ndaki zafiyetlere öncelik vermeye çağırıyor. Adobe ColdFusion kullanıcılarının, özellikle bu açığın aktif olarak istismar edildiği göz önüne alındığında, en kısa sürede güncelleme yapmaları kritik önem taşıyor. CISA, kataloğa eklenen zafiyetlerin belirlenen kriterleri karşıladığı sürece listeye yeni açıklar eklemeye devam edeceğini belirtiyor.
Kuruluşlar, güvenlik açığı yönetimi süreçlerini gözden geçirerek KEV Kataloğu'ndaki zafiyetleri öncelikli olarak ele almalı. Adobe ColdFusion kullanan sistemlerde, path traversal zafiyetinin etkisini azaltmak için web uygulama güvenlik duvarları (WAF) ve giriş doğrulama mekanizmaları gibi ek koruma katmanları devreye alınabilir. Ayrıca, düzenli güvenlik taramaları ve sızma testleri ile benzer zafiyetlerin tespit edilmesi sağlanmalıdır.
Eğer halihazırda KEV Kataloğu'nda yer almayan ancak istismar edildiğini düşündüğünüz bir güvenlik açığı varsa, CISA'nın KEV Aday Gösterme Formu aracılığıyla başvuruda bulunabilirsiniz. Başvuruların kabul edilmesi için bir CVE kimliği, istismar kanıtı ve net bir azaltma rehberi gerekmektedir. Bu sayede, topluluk tabanlı güvenlik açığı yönetimine katkıda bulunarak siber güvenlik ekosisteminin daha dayanıklı hale gelmesine yardımcı olabilirsiniz.
Kaynak: cisa.gov
