CISA (ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı), aktif olarak istismar edildiği tespit edilen iki yeni güvenlik açığını Bilinen İstismar Edilen Güvenlik Açıkları (KEV) Kataloğu'na ekledi. Bu hamle, siber güvenlik topluluğunun dikkatini yüksek risk taşıyan bu zafiyetlere çekmeyi ve kurumların hızla harekete geçmesini sağlamayı hedefliyor. Eklenen açıklar arasında KNX Association KNX Protocol'deki bir kilitlenme mekanizması zafiyeti (CVE-2023-4346) ve Oracle E-Business Suite'teki ayrıcalık yönetimi sorunu (CVE-2026-46817) yer alıyor. Her iki açık da kötü niyetli aktörler tarafından sıklıkla kullanılan saldırı vektörleri arasında bulunuyor ve özellikle federal kurumlar için ciddi tehdit oluşturuyor.
CVE-2023-4346, KNX Association tarafından geliştirilen KNX Protocol'deki Bağlantı Yetkilendirme Seçeneği 1'de bulunan aşırı kısıtlayıcı hesap kilitlenme mekanizması zafiyetidir. Bu güvenlik açığı, saldırganların yetkisiz erişim elde etmesine ve sistemleri kilitlemesine olanak tanıyabilir. KNX Protocol, akıllı bina otomasyon sistemlerinde yaygın olarak kullanıldığından, bu açık fiziksel güvenlik sistemlerini bile etkileyebilir. Diğer taraftan CVE-2026-46817, Oracle E-Business Suite'teki hatalı ayrıcalık yönetimi zafiyetidir. Bu açık, saldırganların düşük yetkili bir hesaptan yönetici seviyesine yükselmesine ve kritik iş verilerine erişmesine neden olabilir. Her iki açık da istismar edildiğinde sistemin tamamen ele geçirilmesine yol açabilecek potansiyele sahiptir.
Bu güvenlik açıklarının KEV kataloğuna eklenmesi, CISA'nın Bağlayıcı Operasyonel Direktifi (BOD) 26-04 ile de doğrudan ilişkilidir. BOD 26-04, Federal Sivil Yürütme Organı (FCEB) kurumları için risk bazlı güvenlik güncelleme önceliklendirmesini zorunlu kılar. Direktif, KEV kataloğunun önemini vurgularken, federal kurumların özellikle kamuya açık varlıklarda tam kontrol sağlayan yüksek riskli açıkların hızla düzeltilmesini, düşük riskli açıklar için ise gecikmeli işlem yapılmasına izin vermektedir. Ayrıca, yama uygulanmadan önce sistemin tehlikeye girip girmediğinin kontrol edilmesi gibi temel beklentileri de belirler.
BOD 26-04 yalnızca FCEB kurumlarını bağlayıcı olsa da, CISA tüm organizasyonları risk bazlı güvenlik açığı yönetimini benimsemeye ve KEV kataloğundaki açıklara öncelik vermeye çağırıyor. Özellikle KNX ve Oracle gibi kritik altyapılarda kullanılan sistemlerin yöneticileri, bu açıkların istismar edilme olasılığının yüksek olduğunu göz önünde bulundurarak derhal yama uygulamalı ve gerekli güvenlik önlemlerini almalıdır. Ayrıca, kurumların saldırı yüzeyini azaltmak için ağ segmentasyonu, erişim kontrolleri ve izleme çözümlerini güçlendirmeleri önerilir.
CISA, mevcut KEV kataloğunda listelenmeyen ancak aktif olarak istismar edilen güvenlik açıklarının bildirilmesi için KEV Aday Gösterme Formu'nu kullanıma sunmuştur. Potansiyel KEV eklemeleri için bir CVE kimliği, istismar kanıtı ve net bir azaltma kılavuzu gereklidir. Bu sayede siber güvenlik topluluğu, tehdit istihbaratını paylaşarak herkesin daha güvende olmasına katkıda bulunabilir. CISA, belirtilen kriterleri karşılayan yeni açıkları kataloğa eklemeye devam edeceğini duyurmuştur.
Sonuç ve Değerlendirme
Sonuç olarak, CISA'nın KEV kataloğuna eklediği bu iki yeni güvenlik açığı, siber tehditlerin sürekli evrildiğini ve her ölçekteki organizasyonun proaktif bir güvenlik yaklaşımı benimsemesi gerektiğini hatırlatıyor. Özellikle KNX Protocol ve Oracle E-Business Suite kullanıcıları, bu açıkların istismar edilmesi durumunda ciddi veri ihlalleri veya operasyonel kesintilerle karşılaşabilir. Risk bazlı yama yönetimi stratejileri, bu tür tehditlere karşı en etkili savunma yöntemlerinden biridir. Kurumlar, güvenlik açıklarını düzenli olarak taramalı, yamaları önceliklendirmeli ve siber güvenlik farkındalığını artırmalıdır.
Kaynak: cisa.gov
