ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), Bilinen İstismar Edilen Güvenlik Açıkları (KEV) Kataloğu'na yeni bir zafiyet ekledi. CVE-2026-48558 olarak tanımlanan bu güvenlik açığı, SimpleHelp yazılımındaki bir kimlik doğrulama atlatma zafiyetidir. CISA, bu zafiyetin aktif olarak istismar edildiğine dair kanıtlar bulunduğunu belirtti.
Bu tür güvenlik açıkları, kötü niyetli siber aktörler için sıkça kullanılan bir saldırı vektörü olup federal kurumlar için önemli riskler oluşturmaktadır. CISA'nın yayınladığı Bağlayıcı Operasyonel Direktif (BOD) 26-04, Federal Sivil Yürütme Organı (FCEB) kurumları için güvenlik güncellemelerinin risk temelli olarak önceliklendirilmesini zorunlu kılmaktadır. Bu direktif, KEV Kataloğu'nun önemini vurgulamakta ve yüksek riskli güvenlik açıklarının hızlı bir şekilde giderilmesini gerektirmektedir.
BOD 26-04 sadece FCEB kurumlarını kapsasa da, CISA tüm organizasyonları risk temelli güvenlik açığı yönetimini benimsemeye ve KEV Kataloğu'ndaki zafiyetleri öncelikli olarak düzeltmeye teşvik etmektedir. CISA, belirlenen kriterleri karşılayan güvenlik açıklarını kataloğa eklemeye devam edecektir. Ayrıca, halihazırda KEV Kataloğu'nda listelenmeyen ancak istismar edildiği bilinen bir güvenlik açığı varsa, CISA'nın ilgili formu aracılığıyla bildirilebileceği duyuruldu.
Uzmanların Görüşleri
Uzmanlar, SimpleHelp kullanıcılarının bu kritik güvenlik açığına karşı acil önlem alması gerektiğini vurguluyor. CISA'nın KEV Kataloğu'na eklenen her yeni zafiyet, siber saldırganların aktif olarak hedef aldığı anlamına geliyor. Bu nedenle kurumların, özellikle kamuya açık sistemlerde bulunan güvenlik açıklarını hızla kapatması ve sistemlerini güncellemesi hayati önem taşıyor.
