ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), Bilinen İstismar Edilen Güvenlik Açıkları (KEV) kataloğuna yeni bir zafiyet ekledi. CVE-2026-42897 olarak tanımlanan bu güvenlik açığı, Microsoft Exchange Server ürününde bulunan bir Siteler Arası Betik Çalıştırma (XSS) zafiyetidir. CISA, bu açığın aktif olarak istismar edildiğine dair kanıtlar bulunduğunu belirterek, tüm federal kurumları ve özel sektör kuruluşlarını acil önlem almaya çağırdı.
XSS zafiyetleri, siber saldırganlar için sık başvurulan bir saldırı vektörüdür ve federal kurumlar için önemli riskler oluşturmaktadır. Bu tür güvenlik açıkları, saldırganların kullanıcı oturumlarını ele geçirmesine, hassas verilere erişmesine veya kötü amaçlı kod enjekte etmesine olanak tanıyabilir. CISA'nın KEV kataloğu, federal ağları korumak için kritik öneme sahip olup, bu tür zafiyetlerin zamanında giderilmesini hedeflemektedir.
Bağlayıcı Operasyonel Direktif (BOD) 22-01 kapsamında oluşturulan KEV kataloğu, federal sivil yürütme organı (FCEB) kurumları için belirli güvenlik açıklarının belirtilen son tarihe kadar giderilmesini zorunlu kılmaktadır. Bu direktif, bilinen ve istismar edilen güvenlik açıklarının oluşturduğu önemli riski azaltmayı amaçlamaktadır. CISA, BOD 22-01'in yalnızca federal kurumlar için bağlayıcı olmasına rağmen, tüm kuruluşları siber saldırılara karşı korunmak için KEV kataloğundaki zafiyetleri önceliklendirmeye ve zamanında yama yapmaya şiddetle teşvik etmektedir.
Teknik Analiz
CISA, belirlenen kriterleri karşılayan yeni güvenlik açıklarını kataloğa eklemeye devam edeceğini duyurdu. Kuruluşların, güvenlik açığı yönetimi uygulamalarının bir parçası olarak KEV kataloğunu düzenli olarak takip etmeleri ve kritik zafiyetleri acilen gidermeleri önerilmektedir. Bu sayede, aktif olarak istismar edilen güvenlik açıklarının yol açabileceği veri ihlalleri, fidye yazılımı saldırıları ve diğer siber tehditlerin önüne geçilebilir.
