ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), Bilinen İstismar Edilen Güvenlik Açıkları (KEV) kataloğuna dört yeni zafiyet ekledi. Bu eklemeler, söz konusu güvenlik açıklarının aktif olarak istismar edildiğine dair kanıtlar bulunması üzerine yapıldı. Listeye eklenen açıklar arasında Lantronix EDS5000 serisi cihazlarda kod enjeksiyonuna izin veren kritik bir zafiyet (CVE-2025-67038) ile Ubiquiti UniFi OS işletim sisteminde üç farklı güvenlik açığı (CVE-2026-34908, CVE-2026-34909, CVE-2026-34910) yer alıyor. Bu tür zafiyetler, siber saldırganlar için sık kullanılan saldırı vektörleri oluşturmakta ve federal kurumlar başta olmak üzere tüm kuruluşlar için önemli riskler teşkil etmektedir.
CISA'nın yayımladığı Bağlayıcı Operasyonel Direktif (BOD) 26-04, Federal Sivil Yürütme Organı (FCEB) kurumları için risk bazlı güvenlik güncelleme önceliklendirmesini zorunlu kılmaktadır. Bu direktif, KEV kataloğunun önemini vurgularken, federal kurumların yüksek riskli güvenlik açıklarını hızlı bir şekilde gidermesini şart koşar. Özellikle, istismar edilmesi durumunda saldırgana tam kontrol sağlayan ve kamuya açık sistemlerde bulunan CISA KEV listesindeki zafiyetlerin öncelikli olarak düzeltilmesi gerekmektedir. Düşük riskli açıklar için ise işlemler ertelenebilir. BOD 26-04 ayrıca, kurumların yama uygulanmadan önce sistemlerinin tehlikeye girip girmediğini kontrol etmesi için temel beklentileri de belirler.
Lantronix EDS5000 serisi endüstriyel cihazlarda keşfedilen CVE-2025-67038 kodlu kod enjeksiyon zafiyeti, saldırganların hedef sistemde keyfi kod çalıştırmasına olanak tanıyor. Bu tür bir açık, özellikle kritik altyapılarda kullanılan endüstriyel kontrol sistemleri için ciddi bir tehdit oluşturuyor. Ubiquiti UniFi OS'de ise üç farklı zafiyet bulunuyor: uygunsuz erişim kontrolü (CVE-2026-34908), yol gezinme (path traversal) (CVE-2026-34909) ve uygunsuz girdi doğrulama (CVE-2026-34910). Bu açıklar, ağ yönetim sistemlerinde yaygın olarak kullanılan UniFi OS'nin güvenliğini tehdit ederek, saldırganların hassas verilere erişmesine veya sistemde yetkisiz değişiklikler yapmasına olanak tanıyabilir.
CISA'nın KEV kataloğu, siber güvenlik topluluğu için kritik bir kaynak niteliği taşıyor. Ajans, sürekli olarak aktif istismara uğrayan zafiyetleri bu kataloğa ekleyerek, kuruluşların güncelleme önceliklendirmesine yardımcı oluyor. BOD 26-04 sadece federal kurumları bağlasa da, CISA tüm kuruluşları risk bazlı güvenlik açığı yönetimini benimsemeye ve KEV kataloğundaki açıkları öncelikli olarak gidermeye teşvik ediyor. Bu yaklaşım, siber saldırılara karşı savunmayı güçlendirmek ve potansiyel zararları en aza indirmek için hayati önem taşıyor.
Kuruluşların bu yeni eklenen güvenlik açıklarına karşı derhal harekete geçmesi gerekiyor. İlk adım olarak, etkilenen cihazların envanteri çıkarılmalı ve üreticiler tarafından sağlanan güvenlik yamaları acilen uygulanmalıdır. Lantronix ve Ubiquiti kullanıcıları, resmi kanallardan güncellemeleri takip etmeli ve yama yayınlandığında gecikmeden uygulamalıdır. Ayrıca, sistemlerde herhangi bir ihlal belirtisi olup olmadığının kontrol edilmesi, özellikle BOD 26-04 kapsamında federal kurumlar için bir zorunluluktur. Tüm kuruluşlar, ağ izleme ve tehdit tespit sistemlerini güçlendirerek olası saldırıları erken aşamada tespit edebilir.
CISA, halihazırda KEV kataloğunda yer almayan ancak istismar edildiği bilinen güvenlik açıklarının bildirilmesi için bir başvuru formu sunuyor. Kullanıcılar, CISA'nın KEV Aday Gösterme Formu aracılığıyla bu tür zafiyetleri bildirebilir. Potansiyel KEV eklemeleri için bir CVE kimliği, istismar kanıtı ve net bir azaltma rehberi gerekiyor. Bu geri bildirim mekanizması, siber güvenlik topluluğunun kolektif savunmasını güçlendirmede önemli bir rol oynuyor. Unutulmamalıdır ki, güvenlik açıklarının zamanında tespiti ve kapatılması, siber saldırıların başarısız olmasının en etkili yoludur.
Kaynak: cisa.gov
